平成24年度春期 応用情報技術者試験 午前 問37
WAFの説明として，適切なものはどれか。
- ア DMZに設置されているWebサーバへ外部から実際に侵入を試みる。
- イ WebサーバのCPU負荷を軽減するために，SSLによる暗号化と復号の処理をWebサーバではなく専用のハードウェア上で行う。
- ウ システム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。
- エ 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
解答・解説を見る
正解：エ
AI解説
WAF(Web Application Firewall)は,WebアプリケーションへのHTTP通信の内容を検査し,SQLインジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを検出して不正な要求を遮断するセキュリティ対策である。ネットワーク層のファイアウォールでは防げないアプリケーション層の攻撃を防ぐ点が特徴である。 ア: 外部から実際に侵入を試みて脆弱性を確認するのはペネトレーションテスト(侵入テスト)の説明である。 イ: SSLの暗号化・復号処理を専用ハードウェアで肩代わりするのはSSLアクセラレータの説明である。 ウ: 質問に答える形式で自組織の対策レベルを診断するのは,情報セキュリティ対策の自己診断(セルフアセスメント)ツールの説明である。 エ: 正しい。通信内容の検査と不正操作の遮断を行うWAFの説明である。 💡 ファイアウォールの守備範囲で区別する。「パケットのIPアドレス・ポート=FW」「通信の振る舞い検知=IDS/IPS」「HTTPの中身(アプリケーション層)=WAF」。WAFは『Webアプリへの通信内容を検査』が決めフレーズである。
出典：平成24年度 春期 応用情報技術者試験 午前 問37 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。