基本情報技術者 2013年 秋期 午前（科目A） 問41

クライアントとWebサーバ間の攻撃遮断機能はどれか【午前2 解説】

要点まとめ

• 結論：クライアントからWebサーバへ送信されるHTTP要求の内容を解析してSQLインジェクション等を遮断するのはWAFである。
• 根拠：WAFはアプリ層でリクエスト本文やパラメータをフィルタリングし既知攻撃シグネチャや振る舞いで遮断するため、SQLi防御に有効である。
• 差がつくポイント：HTTPSは暗号化されるためWAFは復号（SSL終端）できる配置が必要で、誤検知対策やルール最適化が実務での効果を左右する。

正解の理由

よくある誤解

• WAFがあれば脆弱性修正不要：WAFは攻撃遮断の緩和策であり、根本解決としてアプリの脆弱性修正（コード修正）は必須です。
• SSL-VPNで通信検査できると思い込み：SSL-VPNはリモートアクセスの保護が目的であり、トラフィックの内容検査やアプリ層攻撃遮断は行いません。
• ロードバランサやクラスタが攻撃検知するという誤認：これらは可用性や負荷分散が目的で、コンテンツのセキュリティ解析機能は基本的に持ちません。

解法ステップ

1. 問題文のキーフレーズ「クライアントからWebサーバに送信されたデータを検査」「SQLインジェクションなどの攻撃を遮断」を抽出する。
2. 「データを検査して攻撃を遮断する」機能がどの層で働くかを考え、アプリ層（HTTP/HTTPS）で検査する技術を特定する。
3. 選択肢を比較：SSL-VPNはアクセス保護、クラスタは可用性、ロードバランサは分散が主目的であり、アプリ層検査に該当するのはWAFのみと判断する。

選択肢別の誤答解説

• ア: SSL-VPN機能
  SSL-VPNはクライアントと企業ネットワーク間の安全なトンネルを提供するリモートアクセス技術であり、送信データの内容を検査してSQLインジェクションを遮断する機能は本来の役割ではありません。
• イ: WAF
  HTTP/HTTPSレベルでリクエストやレスポンスを検査し、不正な入力や攻撃パターンを検出・ブロックする専用装置またはソフトウェアで、SQLインジェクション対策に適しています。
• ウ: クラスタ構成
  クラスタは複数サーバで負荷分散・冗長化を実現し可用性やスケーラビリティを高める構成です。セキュリティで言えば耐障害性を高めますが、入力検査や攻撃遮断自体は行いません。
• エ: ロードバランシング機能
  ロードバランサはトラフィックの振り分けやヘルスチェック、セッション維持などを行いますが、アプリケーション層の攻撃解析やSQLインジェクションの検出・遮断は本質的な機能ではありません（一部の高機能LBはWAF機能を併設する場合あり）。

補足コラム

FAQ