ネットワークスペシャリスト 2024年 春期 午後II 問題

共通の文章

データセンターのネットワークの検討に関する次の記述を読んで,設問に答えよ。 K社は国内にデータセンターを所有する大手EC事業者である。データセンターの ネットワークには,VXLAN(Virtual eXtensible Local Area Network)を利用してい る。K社の情報システム部は,ネットワークの拡張性を向上させるためにEVPN (Ethernet VPN)の適用を計画しており,EVPNを用いたVXLANの技術検証を行うこと を検討している。 (VXLANの概要] RFC 7348で規定されたVXLANでは,VXLANヘッダー内の| a|ピットのVN (VXLAN Network Identifier)を用いて,約1,677万個のレイヤー2のオーバーレイ ネットワークをレイヤー| b|のネットワーク上に構成できる。VXLANトンネ ルの端点であるVTEP(VXLAN Tunnel End Point)は,VXLANのカプセル化及びカプセ 4ル化の解除を行う。VTEP及びVXLANトンネルの構成例を図1に示す。 ーーーー:VXLANトンネル L3SW:レイヤー3スイッチia os fw)- VTEP i —a ae a L3SW Ex 図1 VTEP及びVXLANトンネルの構成例 図1中のL3SWのVTEPは,サーバから受信したイーサネットフレームに,VXLANへ ッダー,| c|ヘッダー及びIPv4ヘッダーを付加したIPパケット(以下, VXLANパケットという)を,宛先のVTEP(以下,リモートVTEPという)に転送する。 転送されるVXLANパケットの送信元及び宛先には,各VTEPに割り当てられたIPアド レスを利用する。VXLANパケットの構造を図2に示す。 ー3一 図2 VXLANパケットの構造 VTEPは,イーサネットフレームの宛先に応じてVXLANパケットの宛先を決定する ための情報として,リモートVTEPから受信したVXLANパケットから次の情報を組み 合わせて学習する。 ・①リモートVTEPに接続されたサーバのMACアドレス ・②VXLANトンネルのVNI ・③リモートVTEPのIPアドレス K社の現行のネットワークでは,VTEPは,自身に接続されたサーバからリモート VTEPに接続されたサーバ宛てのイーサネットフレームを,次の方式を選択して転送 する。 ・イーサネットフレームが,VTEPによって学習されているサーバ宛てのユニキャス トの場合には,図2中のIPv4ヘッダーの宛先IPアドレスに,リモートVITEPのIP アドレスをセットして転送する。 ・④イーサネットフレームが,BUM(Broadcast,Unknown Unicast,Multicast)フレ ームの場合には,図2中のIPv4ヘッダーの宛先IPアドレスに,IPマルチキャスト のグループアドレスをセットして転送する。 [現行の検証ネットワーク〕 K社は,現行のネットワークの維持管理のために,検証ネットワーク(以下,検証 NMという)を構築している。現行の検証NWを図3に示す。 ー4一 SFエリ79 SCSCSCSC“CNCNSNCONCONSNCCS !| !ーーやや| 1' っeo aeーーツーのペンaーーーーーーーニーニーーーニーーーニーーコー! em lmsHle]leHlee] 物理サーバ物理サーバ物理サーバ VM:仮想サーバNIC:ネットワークインタフェースカード L3SWのループバックインタフェースのIPアドレス 図3現行の検証NW(抜粋) 図3の概要を次に示す。 ・物理サーバに接続するL3SWのポートには,タグVLANを設定している。 ・物理サーバの二つのNICはアクティブスタンバイ構成であり,L3SW11,L3SW21及 びL3SW31に接続するNICをアクティブにしている。 ・L3SWの経路制御にはOSPFを用いている。 ・L3SWは,0SPFで交換するLSA(Link State Advertisement)の情報から|dg| というデータベースを作成する。次に,| 』|を基に,それぞれのL3SWを根 とする|es|ツリーを作成して,ルーティングテーブルに経路情報を登録す Bs に5 wate ・⑤LSAに含まれるルータIDには,それぞれのL3SWのループバックインタフェース に割り当てたIPアドレスを使用している。 -©OSPFのECMP(Equal-Cost Multipath)によって,トラフィックを負荷分散して いる。 ・PIM-SM(Protocol Independent Multicast-Sparse Mode)によるIPマルチキャ ストルーティングを用いており,L3SW91及びL3SW02にIPマルチキャストのランデ ブーポイントを設定している。 現行の検証NWのVLAN,VXLAN及びVTEPを図4に示す。 VNI 10010 |WI Pn 1 i] 1 WNT 10030 TS TN ULューューゴイ1トーニーーーーーーーーー 1 1 VI 10040,rs, 1 1 1 1 1 Fニーーーニーニーニー1 SS 1 ||||||||| VLAN 110 VLAN 210 VLAN 310 VLAN 120 VLAN 220 VLAN 320 VLAN 130 VLAN 230 VLAN 330 ーー一:VLAN----:VXLAN 注記L3SW12,L3SW22及びL3SW32のVTEPに係る構成は省略している。 VMのIPアドレスとVLAN ID VXLANのカプセル化に用いる対応表 中アドレス/プレフィックス胡 4現行の検証NMのVLAN,VXLAN及びVTEP(抜粋) に6 eas 図4の概要を次に示す。 ・図3の物理ネットワーク上に,VXLANトンネルを論理的に構成している。 ・L3SW11,L3SW12,L3SW21,L3SW22,L3SW31及びL3SW32にVTEPを設定している。 ・⑦VTEPのIPアドレスには,それぞれのL3SWのループバックインタフェースに割 り当てたIPアドレスを使用している。 ・VTEPのBUMフレームの転送には,IPマルチキャストを用いる設定にしている。 ・VTEPでは,図4中の“VXLANのカプセル化に用いる対応表"”に示す次の三つの情報 を対応させてカプセル化を行っている。 -受信したイーサネットフレームの“VLAN ID” -VXLANトンネルの“VNI” -BUMフレームを転送するときに使うIPマルチキャストの“グループアドレス" レイヤー2のネットワークにおけるVM11及びVM23と各VMの通信可否を表1に示 す。 a pete[owe[we ED[oe[om Rlレイヤー2のネットワークにおけるVM11及びVM23と各VMの通信可否(抜粋) pow_|-|x|x co|x|x| L ws[a|[a|ee|[|(|ee O:通信可X:通信不可ー:通信元と通信先が同じ 〔現行の検証NWにおけるVTEPの動作〕 図4中のVM11とVM31のARP通信におけるVTEPの動作を,次に示す。 ()L3SW11のVTEPでは,⑧VM11から受信したVM31のMACアドレスを問い合わせる ARP要求フレームに対してVXLANのカプセル化を行い,IPマルチキャストのグル ープアドレスを宛先にして,グループに参加する全てのリモートVTEPに転送する。 (2)L3SW12,L3SW21,L3SW22,L3SW31及びL3SW32のVTEPでは,受信したVXLANパ ケットのカプセル化を解除して,対応するVLANにARP要求フレームをブロードキ ャストする。 (3)L3SW31のVTEPでは,⑨VM31から受信したARP応答フレームに対して,VXLAN ーテー のカプセル化を行い,L3SW11のVTEP宛てに転送する。 (4)L3SW11のVTEPでは,受信したVXLANパケットのカプセル化を解除して,VM11 宛てにARP応答フレームを転送する。 (1)~(4)の動作完了後に確認できる,L3SW11及びL3SW31が学習したVXLANについ ての情報を,表2に示す。 表2 L3SW11及びL3SW31が学習したVXLANについての情報 注記1 AC-a B-F1-00-00-11は,VM11のMACアドレスである。 注記2 AC-a B-F1-00-00-31は,VM31のMACアドレスである。 (EVPNの概要〕 K社の情報システム部では,S課長から指示を受けた0主任が,EVPNを用いたVXLAN の技術検証を検討することになった。0主任が調査したEVPNの概要を示す。 RFC 7432及びRFC 8365で規定されたEVPNは,RFC 4760で規定されたMP-BGP (Multiprotocol Extensions for BGP-4)を用いて,オーバーレイネットワークを制 御するための情報を交換する。VXLANのネットワークにEVPNを適用した場合,コン トロールプレーンにEVPNを用いてオーバーレイネットワークを制御して,データプ レーンにVXLANを用いてイーサネットフレームを転送する。 1の構成例に対してEVPNを適用した場合のEVPNの主な機能について,0主任が K社の現行のネットワークと比較して確認した内容を次に示す。 機能1:リモートVTEPに関する情報の学習について 現行のネットワークでは,VTEPは受信したVXLANパケナットからリモート VTEPの情報を学習する。EVPNを適用した場合,VTEPはMP-BGPを用いて,リ モートVTEPのIPアドレス及びVNIなどの情報をあらかじめ学習する。 機能2:リモートVTEPに接続されたサーバに関する情報の学習について 現行のネットワークでは,VTEPは受信したVXLANパケットから,リモー トVTEPに接続されたサーバのMACアドレス,VNI及びリモートVITEPのIPア ー8一 ドレスの情報を学習する。EVPNを適用した場合,VTEPはMP-BGPを用いて, リモートVTEPに接続されたサーバのMACアドレス,VNI及びリモートVTEP のIPアドレスなどの情報をあらかじめ学習する。 機能3:サーバとの接続について 現行のネットワークでは,複数のVTEPとサーバの接続にリンクアグリゲ ーションを利用できない。EVPNを適用した場合,VTEPはMP-BGPを用いて, 自身に接続されたサーバを識別するESI(Ethernet Segment Identifier)と いう識別子を交換できるようになる。同じESIを設定した論理インタフェー スをもつ複数のVTEPは,サーバとの接続にリンクアグリゲーションを利用 きる。 [新検証NWの設計] 0主任は,現行の検証NWを基に,EVPNを用いたVXLANを検証するためのネットワ ーク(AK,新検証NWという)を設計することにした。新検証NWを図5に示す。 iP-BGP AS55000。フフ)フト0フッ0 VOSPF rU?TO: aS[ 1〆=1 |と>ぐっ| 1 x 1 a a a a! |re leecher=eeーーニーユーユーames gl ws sein nisーー_! 人]Pete rar Ps ES(a ee Sk Ss OS uo}{ne em ee 物理サーバ物理サーバ物理サーバ <--->:iBGPピア=:リンクアグリゲーションを用いて接続する回線 注記iBGPピアのうち,L3SW01とL3SW92との間,L3SW91とL3SW11との間及びL3SW92とL3SW11 との間を例として図示している。 5新検証NW(抜粋) =9— 現行の検証NWから新検証NWに流用される設計を次に示す。 ・新検証NWのL3SW及びVMには,図3及び図4中のIPアドレス及びVLAN IDと同じ 値を割り当てる。 ・物理サーバに接続するL3SWのポートには,タグVLANを設定する。 ・L3SWの経路制御に0SPFを用いて,現行の検証NWと同じ設定にする。 ・新検証NWのVLAN,VXLAN及びVTEPを図4と同じ論理構成にする。 ・L3SW11,L3SW12,L3SW21,L3SW22,L3SW31及びL3SW32にVTEPを設定する。 ・VTEPには,それぞれのL3SWのループバックインタフェースに割り当てるIPアドレ スを使用する。 新検証NWに追加されるEVPNについての設計を次に示す。 ・L3SWのEVPNを有効にする。 ・L3SWにMP-BGPを設定して,ASを65001にする。 ・@L3SWO1及びL3SWO2をMP-BGPのルートリフレクタにして,L3SWO1&L3SWO2との 間でiBGPピアリングを行う。 -L3SW11,L3SW12,L3SW21,L3SW22,L3SW31及びL3SW32をルートリフレクタのクラ イアントにして,L3SW91及びL3SW92とiBGPピアリングを行う。 ・iBGPのピアリングに使用するIPアドレスには,それぞれのL3SWのループバックイ ンタフェースに割り当てるIPアドレスを使用する。 新検証NWにおける,現行の検証NWから変更される設計を次に示す。 ・現行の検証NMWで用いていたIPマルチキャストルーティングについては,利用しな い。 ・VTEPのBUMフレームの転送には,IPユニキャストを用いる設定にする。 ・物理サーバの二つのNICをアクティブプアクティブ構成にして,リンクアグリゲー ションを用いてL3SWに接続する。 0主任は,EVPNの機能1一3,図3こ5を参照して,新検証NWの設計及びEVPNの機 能を,上司の$S課長に説明した。2人の会話を次に示す。 0主任:EVPNの技術検証を行うための新検証NWを設計しました。図5のとおり,L3SW =+f= にMP-BGPを設定して,EVPNを用いたVXLANを構成するための物理ネットワ ークを構築します。VLAN,VXLAN及びVTEPについては,図4と同じ論理構成 を組みます。 S課長:新検証NMWでEVPNをどのように利用するのか教えてください。 0主任:EVPNの“機能1"では,L3SWのVTEPはMP-BGPを利用して,リモートVTEP の情報をあらかじめ学習します。BUMフレームを受信したVTEPは,学習し たリモートVTEPの情報を参照して,VLAN IDに対応するVNIをもつ各リモー トVTEPを宛先に転送できるようになります。VTEPのBUMフレームの転送に は,IPユニキャストを用いる設定にします。 S課長:IPマルチキャストルーティングを利用できないネットワークであっても拡張 できるようになるのですね。ほかの機能についても説明してください。 0主任:EVPNの“HERE 2”では,VTEPはMP-BGPを利用して,リモートVTEPに接続さ れたVMのMACアドレス,VNI及びリモートVTEPのIPアドレスをあらかじめ 学習します。VTEPは,リモートVTEPに接続されたVM宛てのイーサネットフ レームを,学習した情報を参照して転送します。"機能2”によって,BUMフ レームのうちの| f|にょるフラッディングの発生を低減できます。 S課長:ネットワーク負荷の軽減を期待できそうですね。ところで,図5中の物理サ ーバとL3SWの接続方法は,図3中の接続方法と異なるのですか。 0主任:物理サーバとL3SWとの間は,⑪EVPNの"機能3”によって,リンクアグリ ゲーションを用いて接続します。同一の物理サーバに接続する2 BO L3SW に作成するリンクアグリゲーションの論理インタフェースには,同一の物 理サーバに接続されていることを識別させるために,同じ|g|を設 定します。 S課長:MAREE NWを使ってどのようなテストを実施するのか教えてください。 0主任:VM同士の通信可否を確認します。 S課長:現行の検証NWから設定を変更するBUMフレームの転送についても,動作を確 認してください。 0主任:分かりました。⑫ARP要求フレームをカプセル化した全てのVXLANパケット をキャプチャして,宛先IPアドレスを確認します。 ー11一 Q主任が検討した新検証NWの設計及びテスト内容は,情報システム部で承認され た。0主任はEVPNの技術検証の実施のため,新検証NWの構築に着手した。

共通の文章

電子メールを用いた製品サポートに関する次の記述を読んで,設問に答えよ。 Y社は,企業向けにIT製品を販売する会社であり,電子メール(以下、メールと いう)を使用して,販売した製品のサポートを行っている。Y社では,取扱製品の増 加に伴って,サポート体制の強化が必要になってきた。そこで,サポート業務の一 部を,サポートサービス専門会社のZ社に委託することを決定し,Y社の情報システ ム部のX主任が,委託時のメールの運用方法を検討することになった。 Y社のネットワーク構成を図1に,外部DNSサーバYが管理するゾーン情報を図2 に,社内DNSサーバYが管理するゾーン情報を図3に示す。 Yat「yamil yamail2_y-nst_| (aon eas B28] |中継サーバY1中継サーバY2||サーバY|」 || ーー 1 fac PP jie DAY 1 y-mail3 ![| Eee 7 4 1 1 11 1 y-ns2 nt Te TE! Lee JLo]!nt Pore rrr ee ee men peep ciel dim SE OS 1 at bahサーパセグメント!」 FM:ファイアウォールLOW:レイヤー2スイッチL3SW:レイヤー3スイッチ 注記y-ns1,y-ns2,y-maill,y-mail2,及びy-mai13はホスト名である。 M1 Y社のネットワーク構成(抜粋) $TTL 172800 y-sha.com,IN MX 20 y-mail1.y-sha.com. y-Sha.com.IN MX 1 y-mail2.y-sha.com. y-mail1.y-sha.com.IN A 200.a.b.1 y-mai l2.y-sha.com.IN A 200.a.b.2 注記2009.a.b.1及び209.a.b.2はグローバルIPアドレスである。 図2外部DNSサーバYが管理するゾーン情報(抜粋) cee i mail,y-sha.lan,60 IN A 192.168.0.1 mail.y-sha.Lan,60 IN A 192.168.0.2 y-mai(3,y-sha,Lan,IN A 192.168.1.1 y-mail1.y-sha.Lan,IN A 192.168.0.1 y-mail2.y-sha.Lan,IN A 192,168.0.2 図3社内DNSサーバYが管理するゾーン情報(抜粋) Y社では,サポート契約を締結した顧客企業の担当者(以下,顧客という)からの 製品サポート依頼を,社内メールサーバYに設定された問合せ窓口のメールアドレス である,support@y-sha.comで受け付けている。このメールアドレスはグループアド レスであり,support@y-sha.com宛てのメールは,Y社のサポート担当者のメールア ドレスに配信される。サポート担当者は,送信元メールアドレスがsupport@y- sha.comにセットされた製品サポートのメール(LAE,サポートメールという)&, 社内メールサーバYを使用して顧客に返信している。 〔Y社のネットワーク構成とセキュリティ対策の背景 Y社のネットワーク構成とメールのなりすまし防止などの情報セキュリティ対策の 背景について次に示す。 ・サポート担当者が送信したサポートメールが①社内メールサーバYからメール中継 サーバに転送されるとき,②DNSラウンドロビンによってメール中継サーバY1又 はY2に振り分けられる。 ・転送先のメール中継サーバが障害などで応答しないとき,社内メールサーバYは, 他方のメール中継サーバ宛てに転送する機能をもつ。 ・顧客が送信したサポートメールがメール中継サーバに転送されるときは,外部DNS サーバYに登録されたMXレコードの|sa|値によって,平常時は,ホスト名 が|b|のメール中継サーバが選択される。 ・FWには,インターネットからDMZのサーバ宛ての通信に対して,静的NATが設定さ れている。 ー15一 FWに設定されている静的NATを表1に示す。 表1 FWに設定されている静的NAT(抜粋) 送信元メールアドレスの詐称の有無に対しては,DNSの| c|と呼ばれる名 前解決によって,送信元メールサーバのIPアドレスからメールサーバのFQDNを取得 し,そのFQDNと送信元メールアドレスのドメイン名が一致した場合,詐称されてい ないと判定する検査方法が考えられる。しかし,③攻撃者は,自身が管理するDNS+ ーバのPTRレコードに不正な情報を登録することができるので,ドメイン名が一致し ても詐称されているおそれがあることから,検査方法としては不十分である。この ような背景から,受信側のメールサーバが送信元メールアドレスの詐称の有無を正 しく判定できるようにする手法として,送信ドメイン認証が生まれた。 送信ドメイン認証の技術には,送信元I「アドレスを基に,正規のサーバから送ら れたかどうかを検証するSPF(Sender Policy Framework)や,送られたメールのへ ッダーに挿入された電子署名の真正性を検証するDKIM(DomainKeys Identified Mail) などがある。Y社ではSPF及びDKIMの両方を導入している。 [Y社が導入しているSPF OMB) SPFでは,送信者のなりすましの有無を受信者が検証できるようにするために,送 信者のドメインのゾーン情報を管理する権威DNSサーバに,SPFで利用する情報(以 下,SPFレコードという)を登録する。Y社では,外部DNSサーバYに3SPFレコードを TXTレコードとして登録している。 Y社が登録しているSPFレコードを図4に示す。 図4 Y社が登録しているSPFレコード ー16一 Y社が導入しているSPFによる送信ドメイン認証の流れを次に示す。 (i)サポート担当者は,送信元メールアドレスがsupport@y-sha.comにセットされ たサポートメールを,顧客宛てに送信する。 (ji)サポートメールは,社内メールサーバYからメール中継サーバY1又はY2を経 由して,顧客のメールサーバに転送される。 (iii)顧客のメールサーバは,メール中継サーバY1又はY2から,メール転送プロト コルである| d|の|eg|コマンドで指定されたメールアドレスの ドメイン名の| f|を入手する。顧客のメールサーバは,DNSを利用して, ドメインのゾーン情報を管理する外部DNSサーバYに登録されてい るSPFレコードを取得する。 (iv)顧客のメールサーバは,④取得したSPFレコードに登録された情報を基に,送 信元のメールサーバの正当性を検査する。 (v)正当なメールサーバから送信されたメールなので,なりすましメールではな いと判断してメールを受信する。なお,正当でないメールサーバから送信され たメールは,なりすましメールと判断して,受信したメールの隔離又は廃棄な どを行う。 CY社が導入しているDKIMの概要〕 DKIMは,送信側のメールサーバでメールに電子署名を付与し,受信側のメールサ ーバで電子署名の真正性を検証することで,送信者のドメイン認証を行う。電子署 名のデータは,メールの| g|及び本文を基に生成される。 DKIMでは,送信者のドメインのゾーン情報を管理する権威DNSサーバを利用して 電子署名の真正性の検証に使用する鍵を公開する。鍵長は,2,048ビットより大きな 鍵を利用することも可能である。しかし,DNSをトランスポートプロトコルである |!|で利用する場合は,DNSメッセージの最大長が[i|]バイトという 制限があるので,| i|]バイトに収まる鍵長として,一般に2,048ビットの鍵 が利用される。 DKIMの電子署名には,第三者認証局(LAK,CAという)が発行した電子証明書を 利用せずに,各サイトの管理者が生成する鍵が利用できる。 Y社では,Y社のネットワーク運用管理者が生成した鍵などのDKIMで利用する情報 ー17一 (以下。DKIMレコードという)を,外部DNSサーバY IC TXTレコードとして登録して いる。 Y社が登録しているDKIMレコードを図5に,DKIMレコード中のタグの説明を表2 に示す。 sel.ysha.domainkey.y-sha.com.IN TXT 7v=DKIM1:k=rsa;t=s;p=(省略)” 注記sel.yshaは,y-sha.comで運用するセレクター名を示し,y-sha.com.は,電子署名を行うド メイン名を示す。 図5 Y社が登録しているDKIMレコード 表2 DKIMレコード中のタグの説明(抜粋) バージョン番号を示す。指定する場合は“DKIM1"とする。 電子署名の作成の除に利用する鍵の形式を指定する。 DKIMの運用状態が本番運用モードの場合は"s”を指定する。 |p|Base64でエンコードした|ォ|のデータを指定する。 DKIMにおける送信側は,電子署名データなどを登録したDKIM-Signatureヘッダー を作成して送信するメールに付加する処理(以下,DKIM処理という)を行う。DKIM では,一つのドメイン中に複数のセレクターを設定することができ,セレクターご とに異なる鍵が使用できる。セレクターは,DNSサーバに登録されたDKIMレコード を識別するためのキーとして利用される。 DKIM-Signatureヘッダー中のタグの説明を表3に示す。ここで,DKIM-Signature ヘッダーの構成図は省略する。 表3 DKIM-Signatureヘッダー中のタグの説明(抜粋) |b|Base64でエンコードした電子署名データ |d|電子署名を行ったドメイン名 複数のDKIMレコードの中から鍵を取得する際に,検索キーとし て利用するセレクター名 Y社は,顧客宛てのサポートメールに対するDKIM処理を,メール中継サーバY1及 びY2で行っている。Y社では,ドメイン名がy-sha.comでセレクター名がsel.ysha のセレクターを設定している。Y社が送信するメールのDKIM-Signatureヘッダー中 のsタグには,図5中に示したセレクター名のsel.yshaが登録されている。 Y社が導入しているDKIMによる送信ドメイン認証の流れを次に示す。 (i)サポート担当者は,送信元メールアドレスがsupport@y-sha.conmにセットされ たサポートメールを,顧客宛てに送信する。 (ii)サポートメールは,社内メールサーバYからメール中継サーバY1又はY2 AB ALT,顧客のメールサーバに転送される。 (iii)メール中継サーバY1又はY2は,サポートメールに付加するDKIM-Signature ヘッダー中に電子署名データなどを登録して,顧客のメールサーバに転送する。 (iv)顧客のメールサーバは,DKIM-Signatureヘッダー中のdタグに登録されたド メイン名であるy-sha.comとsタグに登録されたセレクター名を基に,DNSを利 用して,当該ドメインのゾーン情報を管理する外部DNSサーバYに登録されてい るDKIMレコードを取得する。 (v)顧客のメールサーバは,⑤取得したDKIMレコードに登録された情報を基に, 電子署名の真正性を検査する。 (vi)正当なメールサーバから送信されたメールなので,なりすましメールではな いと判断してメールを受信する。なお,正当でないメールサーバから送信され たメールは,なりすましメールと判断して,受信したメールの隔離又は廃棄な どを行う。 (Z社に委託するメールの運用方法の検討〕 まず,X主任は,自社のメールシステムのセキュリティ運用規程に,次の規定があ ることを確認した。 (あ)社内メールサーバYには,Y社に勤務する従業員以外のメールボックスは設定 しないこと (い)社内のPCによるメール送受信は,社内メールサーバYを介して行うこと (う)メール中継サーバY1及びY2にはメールボックスは設定せず,社内メールサー バYから社外宛て,及び社外から社内メールサーバY宛てのメールだけを中継す =16= ること (え)Y社のドメインを利用するメールには,なりすまし防止などの情報セキュリテ ィ対策を講じること 次に,メールの運用方法の検討に当たって,X主任は,Z社のネットワーク構成と サポート体制を調査した。 Z社のネットワーク構成を図6に,外部DNSサーバzZが管理するゾーン情報を図7 に示す。 7社281 z-mailt<> サーバZ中継サーバZ .図1に示したY HO サーバZ サーバZ 1ニーニーニーニーニンーーーー1ュPen:ees See ey |7! 1|1' 1 1 1 1 Te}-Le ie]-Le J} !ae} しサポートチームA ii|サポートチームY 注記1 z-ns1,z-ns2,z-maill及びz-mail2はホスト名である。 注記2サポートチームAは,A社向けのサポート業務を行いサポートチームYは,Y社向けの サポート業務を行うチームである。 図6 Z社のネットワーク構成(抜粋) z-sha.co.jp.IN MX 10 z-mail1,z-sha.co.jp. z-mall1.z-sha.co.jp.IN A 222.c.d.1 注記222.c.d.1はグローバルIPアドレスである。 図7外部DNSサーバZが管理するゾーン情報(抜粋) Z社は,複数の企業から受託したメールを用いたサポート業務を,チームを編成し て対応している。 X主任は,Z社のネットワーク構成,サポート体制及びY社のメールシステムのセ キュリティ運用規程を基に,Z社に委託するもメールによるサポート方法を,次のよう にまとめた。 ・Z社のサポートチームYのサポート担当者は,現在使用している問合せ窓口のメー ルアドレスsupport@y-sha.comでサポート業務を行う。 ・support@y-sha.com宛てのメール中から,Z社に委託した製品のサポート依頼メー ル及びサポート途中のメールが抽出されて,Z社のサポートチームYのグループア ドレス宛てに転送されるようにする。 ・サポートチームYのサポート担当者は,送信元メールアドレスがsupport@y- sha.comにセットされたサポートメールを,社内メールサーバZを使用してY HO 顧客宛てに送信する。 次に,セキュリティ運用規程の(え)に対応するために,Z社に委託するサポートメ ールへのSPFとDKIMの導入方法を検討した。 SPFには,©DNSサーバにSPFで利用する情報を登録することで対応できると考え た。 DKIMには,図6中のメール中継サーバZで,送信元メールアドレスがsupport@y- sha.comのメールに対してDKIM処理を行うことで対応できると考えた。このとき, 顧客のメールサーバが,外部DNSサーバYを使用してDKIMの検査を行うことができ るように,DKIM-Signatureヘッダー中のdタグで指定するドメイン名には を登録し,Osタグで指定するセレクター名はsel.zshaとして,Y He 異なる鍵を電子署名に利用できるようにする。また,外部DNSサーバYに,sel.zsha セレクター用のDKIMレコードを追加登録する。 委託時のメールの運用方法がまとまったので,検討結果を上司のW課長に説明した ところ,⑧"2社のサポートチームY以外の部署の従業員が,送信元メールアドレス にsupport@y-sha.comをセットしてサポート担当者になりすました場合,顧客のメー ルサーバでは,なりすましを検知できない",との指摘を受けた。そこで,X主任は, 追加で実施する対策について調査した結果,S/MIME(Secure/MIME)の導入が有効で あることが分かった。 (S/MIMEの調査と実施策] S/MIMEでは,受信者のMUA(Mail User Agent)によるメールに付与された電子署 名の真正性の検証で.なりすましやメール内容の改ざんが検知できる。 MUAによる電子署名の付与及び電子署名の検証の手順を表4に示す。 gg&cs 表4 MUAによる電子署名の付与及び電子署名の検証の手順 = ーー 送信者の |6|ヘッシュ介杉する。CS X主任は,S/MIME導入に当たってY社とZ社が実施すべき事項について検討し,次 の四つの実施事項をまとめた。 ・Y社のホームページ上で,サポートメールへのS/MIMEの導入をアナウンスし,な りすまし防止対策を強化することを顧客に周知する。 ・取得した電子証明書は,Z社にも秘密鍵と併せて提供する。 ・Y社のサポート担当者及びZ社のサポートチームYのサポート担当者は,自身のPC に電子証明書と秘密鍵をインストールする。| ・Y社及びZ社のサポート担当者は,送信するメールに電子署名を付与する。 X主任は,サポートメールにSPFとDKIMだけでなく新たにS/MIMEも導入したメー ルの運用方法と,サポート委託を開始するまでに社及びZ社で実施すべき事項をW 課長に報告した。報告内容が承認されたので,X主任は,委託時のメールの運用を開 始するまでの手順書の作成,及びZ社の窓口担当者との調整に取り掛かった。