基本情報技術者 2010年 春期 午前（科目A） 問44

WAFの役割と防御対象【午前解説】

正解の理由

解法ステップ

1. 選択肢のキーワードで「WAFの対象範囲（Webアプリ層）」を思い出す。
2. 各選択肢を「ネットワーク／アプリ／ホスト／開発工程」のどの領域に属するかで分類する。
3. WAFは「通信を監視・遮断する運用型防御」なので、運用時に攻撃を遮断する選択肢を採る。
4. 残りを除外して正答を決定する（イ＝ホストAV、ウ＝テスト、エ＝脆弱性管理）。

選択肢別の誤答解説

• ア: 正しい。WAFはWebサーバ／アプリケーション由来の攻撃（SQLi、XSS等）をHTTP層で遮断します。
• イ: 誤り。ワームの検知・自動駆除はホスト型アンチウイルスやEDRの領域であり、WAFの機能ではありません。
• ウ: 誤り。コンテンツ開発や結合テスト時の脆弱性検出は静的解析・動的解析やテスト工程の役割で、WAFは運用時の防御装置です。
• エ: 誤り。OSのセキュリティホール発見やパッチ適用は脆弱性管理・運用管理の仕事で、WAFはパッチ適用を行いません（遮断で一時的に緩和は可能）。

よくある誤解

1. WAFがサーバ内のマルウェア（ワーム）を検知・駆除すると思う誤解
   • WAFはネットワーク越しのHTTP/HTTPSトラフィックを対象にするため、サーバ内部で動作するワームの検出／駆除はホスト型アンチウイルスやEDRの役割です。
2. WAFが開発段階の結合テストや脆弱性発見ツールの代替になると思う誤解
   • セキュアコーディングや静的解析・動的解析（DAST）は検出・修正が目的で、WAFはあくまで運用時の遮断・緩和が目的です。
3. WAFがOSやミドルウェアのセキュリティパッチ適用を行うと思う誤解
   • パッチ適用は運用管理の作業であり、WAFは脆弱性そのものの修正は行いません。暫定的な防御は可能ですが根本対策ではありません。

補足コラム

• WAFの導入形態：ネットワークインライン型（リバースプロキシ）、クラウドWAF（CDN連携）、ホスト型（アプリケーション近傍）の3種類が一般的です。
• 検知手法：シグネチャベース、振る舞い（アノマリ）ベース、ホワイトリスト（正当性）ベース、これらを組み合わせるハイブリッド方式が多いです。
• 限界と対策：WAFは防御を強化しますが完全ではなく、誤検知やルール未整備による回避、暗号化通信の可視化問題があります。根本対策は安全な設計・修正（セキュアコーディング、脆弱性修正）です。RASP（Runtime Application Self-Protection）との連携も有効です。

FAQ