基本情報技術者 2014年 秋期 午前（科目A） 問41

WAF(Web Application Firewall)を利用する目的はどれか。【午前2 解説】

要点まとめ

• 結論：WAFはWebアプリケーションに対する攻撃を検知・遮断し、不正リクエストをブロックして被害を防止します。
• 根拠：WAFはHTTP/HTTPSレベルで入力や振る舞いを解析し、SQLインジェクションやXSS等の攻撃パターンを遮断する仕組みです。
• 差がつくポイント：ホスト内での駆除、開発時テスト、OSパッチ適用などはWAFの役割ではなく、それぞれ別技術で対応します。

正解の理由

よくある誤解

• WAFはアンチウイルスではない：ワームやマルウェアの検知・駆除（ファイルシステム内の駆除）はAV/EDRの領域でありWAFの役割ではありません。
• WAFは脆弱性を修正しない：WAFは攻撃を防ぐ緩和策であり、脆弱性を発見してパッチ適用する機能は持ちません。根本修正は開発や運用で行います。
• 開発時のテストツールではない：結合テストや静的解析での脆弱性検出は別のツール（SAST/DAST）で行い、WAFは実稼働時の防御を担います。

解法ステップ

1. 問題文のキーワード「WAF」「Web Application Firewall」「利用する目的」を確認する。
2. WAFのレイヤ（アプリケーション層）と主な機能（HTTP/HTTPSのリクエスト解析、ルールによる遮断）を思い出す。
3. 選択肢と照合：ホスト内ウイルス駆除、開発時の脆弱性検出、OSパッチ適用はWAFではないと排除する。
4. 最終的にアがWAFの定義と合致するため選択する。

選択肢別の誤答解説

• ア: Webサーバ及びWebアプリケーションに起因する脆弱性への攻撃を遮断する。→ 正解。HTTP/HTTPSのトラフィックを解析し攻撃を遮断するのがWAFの代表的な機能です。
• イ: Webサーバ内でワームの侵入を検知し、ワームの自動駆除を行う。→ 誤り。これはアンチウイルスやEDRの領域であり、WAFはネットワーク／アプリ層の攻撃防御に特化します。
• ウ: Webサーバのコンテンツ開発の結合テスト時にWebアプリケーションの脆弱性や不整合を検知する。→ 誤り。結合テストや脆弱性検出はSAST/DASTやテスト工程の役割であり、WAFは実運用での防御装置です。
• エ: Webサーバのセキュリティホールを発見し、OSのセキュリティパッチを適用する。→ 誤り。脆弱性の発見やパッチ適用は運用・管理作業で、WAFにはパッチ適用機能はありません。

補足コラム

• WAFの導入形態には「ネットワーク側に設置するリバースプロキシ型（クラウドWAF含む）」と「アプライアンスやモジュール（例：mod_security）」があり、トラフィックを仲介して検査・制御します。
• WAFは万能ではなく、誤検知（false positive）や新しい攻撃には対応が遅れることがあります。健全なセキュリティ対策は、安全なコーディング、定期的な脆弱性診断、OS/ミドルウェアのパッチ適用とWAFの組合せです。
• 近年は振る舞い検知やMLベースのルール、自動チューニング機能を持つ製品も増えていますが、運用でのチューニングは不可欠です。

FAQ