応用情報技術者 2019年 春期 午前2 問45

Webアプリケーション防御【午前2解説】

正解の理由

解法ステップ

1. 問題が対象とするレイヤ（アプリケーション層かホスト/ネットワーク層か）を確認する。WAFはHTTP/HTTPSのアプリ層を扱う。
2. 選択肢の語句とWAFの代表的な防御対象（SQLi、XSS、ファイルアップロードの不正利用、不要なHTTPメソッド等）を照合する。
3. 他の選択肢が示す監視対象（ブラウザ内での通信改ざん、OSログイン、不正マルウェア検出）がWAFの範囲外であることを確認して除外する。

選択肢別の誤答解説

• ア: 正解。WAFはHTTP/HTTPSのリクエストとレスポンスを解析し、Webアプリケーションに対する攻撃を検知・遮断する。クラウド型、リバースプロキシ型、組み込みモジュール型などの導入形態がある。OWASP Top 10に挙がる脆弱性に対する緩和策として使われることが多い。
• イ: 誤り。文中の「Webブラウザの通信内容を改ざんする攻撃をPC内で監視し、検出する」はWAFの役割ではない。ブラウザやホスト内での改ざんや不正なプロセス挙動の検出は、ホスト型の検知防御（HIDS/HIPS）、EDR（Endpoint Detection and Response）、あるいはプロキシやネットワークIDS/IPSといった別の製品群が担う。アンチウイルスソフトは主にファイルやプロセス中のマルウェア検出・駆除が目的であり、通信改ざんそのものを監視・検出する製品カテゴリとは異なる。
• ウ: 誤り。サーバのOSへの不正ログイン監視はホスト監視・ログ管理やSIEM、認証監査、PAM（特権アクセス管理）などが担う。WAFはアプリケーションレベルのHTTP要求を対象とし、サーバOSのログイン試行を直接監視する機能は基本的に持たない。
• エ: 誤り。ファイルへのマルウェア感染の監視・検出はアンチウイルス（AV）やEDRの主たる機能であり、WAFの主要業務ではない。WAFはアップロードファイルの拡張子やコンテンツポリシー違反を検査することはあるが、マルウェアスキャンそのものは専用ソリューションに委ねられることが多い。

よくある誤解

• WAFはすべての攻撃を防げると考える誤解：WAFはアプリ層攻撃を軽減するが、ゼロデイ脆弱性や誤設定によるすり抜け、暗号化されたトラフィックのままでは検査できないケースがある。常にチューニングと別層防御との併用が必要。
• WAFとIDS/IPSを混同する誤解：IDS/IPSはネットワーク層・パケットレベルやホストの挙動に焦点を当てることが多いのに対し、WAFはHTTP/Sの構造（URI、ヘッダ、パラメータ、ボディ）を理解して対処する点が異なる。
• 暗号化（HTTPS）で無効になるという誤解：HTTPSを検査するにはWAF側でSSL/TLS終端（復号）する設定が必要で、これには証明書管理やプライバシー・法規対応などの考慮が必要である。

補足コラム

• リバースプロキシ型：クライアント→WAF→実サーバ の順で中継し、完全なリクエスト/レスポンス検査と遮断が可能。
• ネットワークアプライアンス型（透過型）：既存構成へ影響を少なく導入できるが一部機能に制約がある場合がある。
• 組み込み/モジュール型：Webサーバやアプリに組み込む方式で、内部処理に近い検査が可能。 運用面では、初期は検知（ログ）モードで運用して誤検知を洗い出し、ルールのチューニング後にブロックへ移行するのが一般的です。最近は機械学習ベースの異常検知やボット対策、API保護、RASP（Runtime Application Self-Protection）との連携が注目されています。

FAQ