解説

DBサーバをDMZから内部ネットワークに移動する際のファイアウォールルール変更問題。変更前：Webアプリサーバ（DMZ）→ DBサーバ（DMZ）が直接通信。変更後：DBサーバが内部ネットワークに移動するため、Webアプリサーバ→内部DBサーバの通信ルールが必要になる。削除すべきルール（b：正解）は「運用管理PC → 変更前のDBサーバ（DMZ）へのSSH許可ルール」。DBサーバがDMZから消えるため、このルールは不要になる。追加ルールはWebアプリサーバ→新DBサーバ（内部）へのDB接続ルール。誤りのルール：a（インターネット→WebAPサーバHTTPS）は必要なまま維持すべき基本ルール、c（WebAPサーバ→DBサーバSSH）はDBアクセスにSSHは不適切（ODBC/JDBC等のDB接続プロトコルが正しい）、d（インターネット→WebAPサーバODBC）はインターネットからDBアクセスポートを開けるのは危険で誤り。

なぜ他の選択肢は違うのか

選択肢 ア

「インターネット → WebAPサーバ HTTPS 許可」ルールはDBサーバ移動とは無関係であり、WebAPサーバにHTTPSで外部アクセスを許可する基本ルールはDBサーバの移動後も維持すべきルールである。このルールを削除するとWebサービス全体が外部から到達不能になる。

選択肢 ウ

「WebAPサーバ → 変更後DBサーバ SSH 許可」はDBアクセスとしてSSH（22番）を追加するという内容で誤り。WebアプリとDBサーバの通信にはODBC・JDBC・専用DBポート（MySQL:3306、PostgreSQL:5432等）を使うのが正しく、SSH接続はDB操作ではなくリモートシェルアクセスのプロトコルである。

選択肢 エ

「インターネット → WebAPサーバ ODBC 許可」はインターネットからDBアクセスポートをWebAPサーバに対して開放することになり、DBプロトコルへの外部直接アクセスを許可する重大なセキュリティリスクとなる。このようなルールは追加してはならない。

解くときのポイント

FWルール変更問題のアプローチ: ①現在必要なルールを条件から洗い出す②現在のルールと比較して「追加すべき」「削除すべき」を判断する③ネットワーク構成図の変化（DMZ→内部移動等）をトレースする。