平成27年度秋期 応用情報技術者試験 午前 問41
図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信を暗号化したり，復号したりする機能はないものとする。
- ア a
- イ b
- ウ c
- エ d
解答・解説を見る
正解：ウ
AI解説
正解はウ(c)。WAF(Web Application Firewall)はHTTPの通信内容(メソッドやパラメタ)を検査してSQLインジェクションやXSSなどWebアプリケーションへの攻撃を遮断する装置である。本問のWAFは復号機能をもたないため,SSLで暗号化された通信のままでは検査できない。したがってSSLアクセラレータで復号された後,Webサーバに届く前の位置cに設置する必要がある。 ア: aはインターネット側で通信がまだSSLで暗号化されており,復号機能のないWAFでは内容を検査できない。 イ: bも復号前の暗号化通信が流れる区間であり,HTTPの中身を検査できないため不適である。 ウ: 正しい。SSLアクセラレータで復号された平文のHTTP通信を,Webサーバの直前で検査できる位置である。 エ: dはWebサーバより後方(DBサーバ側など)であり,Webアプリケーションへの攻撃をWebサーバ到達前に防ぐことができない。 💡 WAF設置問題は「平文のHTTPが流れる場所か」「守りたいWebサーバの手前か」の2条件で判定する。暗号化通信を検査するには復号機能(またはSSL終端の後ろへの設置)が必須,という制約が解答の鍵になる。
出典：平成27年度 秋期 応用情報技術者試験 午前 問41 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。図表はIPA公式問題冊子から引用しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。図表はIPA公式問題冊子から引用しています。著作権はIPAに帰属します。