正解：イ
各選択肢の解説
アプロキシサーバでアクセスを止めるサイトの一覧に、不要なサイトをさらに追加する。
誤り。プロキシサーバでの制限を強める対策ですが、設定を外したPCの通信は プロキシサーバを通らないので、一覧をいくら増やしても届きません。 問題は制限の中身ではなく、制限を通らない経路があることです。
イ外部へのWeb通信は、プロキシサーバから出るものだけをファイアウォールで許可する。
正解。PCから外部への直接の通信をファイアウォールで止めれば、外部へ出る経路は プロキシサーバだけになります。設定を外したPCは外へ出られず、制限を回避できません。
ウ外部からの要求を受けるリバースプロキシサーバを置き、Web閲覧をそこに集める。
誤り。リバースプロキシサーバは、公開するWebサーバの代わりに外部からの要求を受ける装置です。 社内から外へ出ていく閲覧を中継するのはプロキシサーバのほうで、向きが逆です。
エブラウザのプロキシ設定を変更しないよう、全社員に文書で注意を呼びかける。
誤り。注意喚起は意図しない変更を減らせますが、わざと回避しようとする人は止められません。 直接つながる経路が残る限り、制限は利用者の善意に頼ったままです。
理解を深めるために
正門で荷物検査をしても、裏口が開いていれば意味がない
正門に警備員を置いて持込みを検査しても、裏口が自由に出入りできれば、 検査を避けたい人は裏口を使います。検査を強めるより先に、裏口を閉めることが必要です。 プロキシサーバでのWeb閲覧の制限も、プロキシを通らない経路があれば同じことになります。
なぜファイアウォールと組み合わせるのか
プロキシサーバは、社内PCの代わりに外部のWebサイトへアクセスする装置です。 通信がそこを通るからこそ、アクセス先の記録や、不要なサイトへのアクセスの制限ができます。 しかし、PCがプロキシを使うかどうかはブラウザの設定で決まるので、設定を外せば素通りできます。
そこで、境界のファイアウォールで次のように規則を組みます。
- 外部へのWeb通信は、送信元がプロキシサーバのものだけ許可する
- 社内PCから外部への直接のWeb通信は拒否する
こうすると、外へ出る道がプロキシサーバだけになり、制限と記録が抜けなくなります。
混同しやすい対策との違い
| 対策 | 効果 |
|---|---|
| 直接の通信をファイアウォールで止める | プロキシを通らない経路そのものがなくなる |
| 止めるサイトの一覧を増やす | プロキシを通らない通信には効かない |
| リバースプロキシサーバを置く | 外から来る要求を受ける装置で、向きが逆 |
| 設定を変えないよう注意する | わざと回避する人は止められない |
試験では、制限の中身を強めるか、制限を通らない経路を塞ぐかで見分けます。