1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがあり，このネットワークにおいて，Webサーバと，重要なデータをもつデータベースサーバから成るシステムを使って，利用者向けのWebサービスをインターネットに公開する。
インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。
ここで，Webサーバでは，データベースサーバのフロントエンド処理を行い，ファイアウォールでは，外部セグメントとDMZとの間，及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
正答3
解説
正解は3です。
DMZ（DeMilitarized Zone：非武装地帯）は、インターネットに公開するサーバを置くための、外部と内部の中間のセグメントです。
本問のファイアウォールは、外部セグメントと内部セグメントの直接の通信を許可していません。
重要なデータを持つデータベースサーバは、インターネットから直接到達できない場所に置くのが基本です。
【選択肢別解説】
1：× データベースサーバをDMZに置くと、インターネットからの通信が許可されたセグメントに重要なデータが置かれることになり、不正アクセスの危険が高まります。
2：× Webサーバを内部セグメントに置くと、インターネットからWebサーバへアクセスできません。
外部と内部の直接の通信は許可されていないからです。
3：○ WebサーバはDMZに置いて公開し、データベースサーバは内部セグメントに置きます。
インターネットから直接アクセスできるのはWebサーバだけになり、データベースサーバへはDMZを経由した特定の通信だけが届くので、重要なデータを保護できます。
4：× Webサーバを外部セグメントに置くと、ファイアウォールで保護されません。
データベースサーバもDMZに置くことになり、保護が不十分です。
【ポイント】
公開サーバはDMZ、重要なデータを持つサーバは内部セグメントに置くのが定石です。
WebサーバがDMZから内部のデータベースサーバへ必要な通信だけを行う3層構成を押さえておきましょう。