平成29年度春期 応用情報技術者試験 午前 問43
図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信を暗号化したり，復号したりする機能はないものとする。
- ア a
- イ b
- ウ c
- エ d
解答・解説を見る
正解：ウ
AI解説
WAF（Web Application Firewall）はHTTPの通信内容を検査してSQLインジェクションなどWebアプリケーションへの攻撃を遮断する装置である。本問のWAFは復号機能をもたないため，TLSで暗号化されたままの区間では検査できず，復号装置（SSLアクセラレータ）を通過した後の平文HTTPが流れるWebサーバ直前のc点に設置するのが適切である。 ア: a点は通信がTLSで暗号化されたままの区間であり，復号機能のないWAFでは内容を検査できない。 イ: b点も復号前の暗号化通信が流れる区間であり，WAFは攻撃パターンを検査できない。 ウ: 正しい。c点は復号後の平文HTTPが流れるため，WAFがリクエスト内容を検査してWebアプリへの攻撃を遮断できる。 エ: d点ではWebサーバ宛の通信を検査する位置として不適切であり，保護対象への攻撃を遮断できない。 💡 WAF設置問題は「復号ポイントの後ろ・保護対象サーバの手前」が鉄則。FW（ポート単位）→IDS/IPS（パケット・シグネチャ）→WAF（HTTPの中身）と防御レイヤの違いも整理しておく。
出典：平成29年度 春期 応用情報技術者試験 午前 問43 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。図表はIPA公式問題冊子から引用しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。図表はIPA公式問題冊子から引用しています。著作権はIPAに帰属します。