解説

本問は、DBサーバをDMZから内部ネットワークへ移動するネットワーク構成変更に伴い、ステートフルパケットインスペクション型ファイアウォール（FW）のフィルタリングルールに必要となる変更を選ぶ問題です。変更前は、WebAPサーバとDBサーバがともにDMZにあり、運用管理PCは内部ネットワークにありました。条件(3)より、SSHでサーバに接続できるのは運用管理PCだけなので、変更前は「運用管理PC（内部）→DBサーバ（DMZ）のSSH通信」がFWを通過する必要があり、その許可ルールが設定されていたはずです。変更後、DBサーバは運用管理PCと同じ内部ネットワークへ移動します。すると、運用管理PCからDBサーバへのSSH通信はFWをまたがなくなる（同一セグメント内の通信になる）ため、変更前に設定していた「運用管理PC→変更前のDBサーバ SSH 許可」というFWルールは不要になり、削除すべきです。選択肢bの「削除／運用管理PC／変更前のDBサーバ／SSH／許可」が、必要となる変更の一つとして正しく、正解です。他の選択肢は、まだ必要なルールの削除（ア：インターネット→WebAPのHTTPは公開のため必要）、不要・不適切なルールの追加（ウ：SSHはWebAPからではなく運用管理PCから、エ：インターネット→WebAPのODBCは不要）であり、いずれも適切ではありません。

なぜ他の選択肢は違うのか

選択肢 ア

「削除／インターネット／WebAPサーバ／HTTP／許可」は誤りです。条件(1)よりWebAPサーバはインターネットに公開するので、インターネットからWebAPサーバへのHTTP通信を許可するルールは引き続き必要であり、削除してはいけません。条件(1)よりWebAPサーバはインターネットに公開するので、インターネットからWebAPサーバへのHTTP通信を許可するルールは引き続き必要であり、削除してはいけません。

選択肢 ウ

「追加／WebAPサーバ／変更後のDBサーバ／SSH／許可」は誤りです。条件(3)よりSSHでサーバに接続できるのは運用管理PCだけであり、WebAPサーバからDBサーバへのSSHは許可すべきではありません。また、WebAPとDBの通信に必要なのはODBC（条件(2)）であってSSHでもありません。

選択肢 エ

「追加／インターネット／WebAPサーバ／ODBC／許可」は誤りです。ODBCはWebAPサーバとDBサーバの間でDB接続に使う通信であり（条件(2)）、インターネットからWebAPサーバへODBCを許可する必要はありません。インターネットからWebAPへ公開するのはHTTPです。ODBCはWebAPサーバとDBサーバの間でDB接続に使う通信であり、インターネットからWebAPサーバへODBCを許可する必要はなく、公開するのはHTTPなので不適切です。

解くときのポイント

FWルール変更は『どの通信がFWをまたぐか』で考える。DBが内部へ移動→運用管理PC（内部）→DB（内部）のSSHはFWを通らなくなる→既存の許可ルールが不要に＝削除。条件（誰が・何で通信するか）と照合する。