平成23年度秋期 応用情報技術者試験 午前 問40

正解：イ

AI解説

WAF(Web Application Firewall)は、クライアントとWebサーバの間でHTTP通信の内容(アプリケーション層のデータ)を検査し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションへの攻撃を検知・遮断する仕組みである。通常のファイアウォールがIPアドレスやポート番号で制御するのに対し、WAFは通信の中身まで見る点が特徴である。 ア: SSL-VPN機能は、SSL/TLSによる暗号化を利用して安全なリモートアクセスを実現する技術であり、攻撃の検査・遮断機能ではない。 イ: 正しい。WAFはWebサーバへの送信データを検査し、SQLインジェクションなどの攻撃パターンを遮断する。 ウ: クラスタ構成は複数サーバによる可用性・性能向上のための構成であり、セキュリティ対策ではない。 エ: ロードバランシングは複数サーバへ負荷を分散する機能であり、攻撃の遮断とは無関係である。 💡 防御の層で整理する。パケットフィルタリング=ネットワーク層/トランスポート層、IDS/IPS=不正侵入の検知・防御、WAF=Webアプリケーション層の攻撃対策。SQLインジェクションと来たらWAFが定番。