平成28年度 高度共通 午前I（PM試験） 問13
WAFの説明として，適切なものはどれか。
- ア DMZに設置されているWebサーバへ外部から実際に侵入を試みる。
- イ WebサーバのCPU負荷を軽減するために，TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行う。
- ウ システム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。
- エ 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
解答・解説を見る
正解：エ
AI解説
WAF(Web Application Firewall)は、Webアプリケーションへの通信内容(HTTPリクエストなど)を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを検知して不正な通信を遮断するセキュリティ対策製品である。エがこの説明に該当する。ネットワークレベルのFWでは防げないアプリケーション層の攻撃を防ぐ点が特徴である。 ア: 外部から実際に侵入を試みて脆弱性を確認するのは、ペネトレーションテスト(侵入テスト)の説明である。 イ: TLSの暗号化・復号処理を専用ハードウェアで肩代わりするのは、SSL/TLSアクセラレータの説明である。 ウ: 質問に答える形式で自組織の対策レベルを診断するのは、情報セキュリティ対策の自己診断ツール(セキュリティベンチマーク)の説明である。 エ: 正解。通信内容のパターン検査によりWebアプリケーションへの不正な操作を遮断する、WAFの定義である。 💡 FW=IPやポートで制御(ネットワーク層)、IDS/IPS=侵入の検知/防御、WAF=HTTPの中身を見てWebアプリ攻撃を遮断(アプリケーション層)、と守備範囲で区別する。「Webアプリへの通信内容を検査」がWAFの決めゼリフである。
出典：平成28年度 秋期 プロジェクトマネージャ試験 午前I 問13 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。