平成28年度春期 応用情報技術者試験 午前 問40
WAFの説明として，適切なものはどれか。
- ア DMZに設置されているWebサーバへ外部から実際に侵入を試みる。
- イ WebサーバのCPU負荷を軽減するために，TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行う。
- ウ システム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。
- エ 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
解答・解説を見る
正解：エ
AI解説
正解はエ。WAF(Web Application Firewall)は、WebサーバとインターネットとのHTTP/HTTPS通信の内容をアプリケーション層で検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを検知して不正な通信を遮断するセキュリティ対策機器・ソフトウェアである。通常のファイアウォールでは防げないWebアプリケーションの脆弱性を突く攻撃への防御に用いる。 ア: 外部から実際に侵入を試みて防御力を検証するのはペネトレーションテスト(侵入テスト)の説明である。 イ: TLSの暗号化・復号処理を専用ハードウェアで肩代わりするのはSSL(TLS)アクセラレータの説明である。 ウ: 質問に答える形式で自組織の対策レベルを診断するのは、情報セキュリティ対策の自己診断ツール(セルフチェック)の説明である。 エ: Webアプリケーションへの通信内容を検査し、攻撃パターンを検知して遮断するというWAFの説明として正しい。 💡 『ファイアウォール=IPアドレス・ポートで制御(ネットワーク層〜トランスポート層)』『IDS/IPS=不正侵入の検知/防御』『WAF=Webアプリ宛て通信の中身を検査』と守備範囲で区別する。SQLインジェクション対策と問われたらWAFが定番。
出典：平成28年度 春期 応用情報技術者試験 午前 問40 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。