1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。
このネットワークにおいて，Webサーバと，重要なデータをもつデータベースサーバから成るシステムを使って，利用者向けのサービスをインターネットに公開する場合，インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。
ここで，ファイアウォールでは，外部セグメントとDMZとの間及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
正答3
解説
正解は3です。
DMZ（DeMilitarized Zone、非武装地帯）を使ったサーバの配置を問う問題です。
DMZは、外部セグメントと内部セグメントの間に設ける緩衝地帯で、外部に公開するサーバを置きます。
本問のファイアウォールは、外部とDMZ、DMZと内部の間の通信を特定のプロトコルだけ許可し、外部と内部の直接の通信は許可しません。
【選択肢別解説】
1：× データベースサーバもDMZに置くと、インターネットからDMZへの通信が許可されている分だけ攻撃を受けやすくなります。
重要なデータの保護として不十分です。
2：× Webサーバを内部セグメントに置くと、外部と内部の直接の通信は許可されないので、インターネットの利用者がWebサーバにアクセスできません。
3：○ WebサーバをDMZに置けば、インターネットからアクセスできます。
データベースサーバは内部セグメントに置き、DMZのWebサーバからだけアクセスさせることで、インターネットから直接攻撃されなくなります。
4：× Webサーバを外部セグメントに置くと、ファイアウォールで守られません。
データベースサーバをDMZに置くのも、内部セグメントに置くより保護が弱くなります。
【ポイント】
「公開するサーバはDMZ、重要データは内部セグメント」が基本です。
Webサーバが乗っ取られても、データベースまでは直接届かない多層の防御になります。