基本情報技術者 2016年 春期 午前（科目A） 問43

Webアプリケーションファイアウォール【午前解説】

正解の理由

解法ステップ

1. 問題文のキーを確認：「クライアントからWebサーバに送信されたデータを検査」「SQLインジェクション」→ アプリケーション層の攻撃。
2. 各選択肢の機能範囲を整理：SSL-VPNは暗号化とリモート接続、クラスタ構成は冗長化、ロードバランシングは分散、WAFはHTTP/HTTPS検査。
3. アプリケーション層の入力検査に該当する選択肢を選ぶ→ イ。

選択肢別の誤答解説

• ア: SSL-VPN機能
  • 誤り。SSL-VPNはリモートアクセスやトンネリングのための暗号化接続を提供しますが、送信データを解析してSQLインジェクションを遮断する機能は通常ありません。
• イ: WAF
  • 正解。HTTP/HTTPSトラフィックを解析して不正な入力や攻撃パターンをブロックするため、SQLインジェクションの遮断に直接対応します。
• ウ: クラスタ構成
  • 誤り。クラスタは可用性や負荷分散、冗長化を目的とする構成で、攻撃の検出・遮断機能は本質的には持ちません。
• エ: ロードバランシング機能
  • 誤り。ロードバランサはトラフィック分散が主目的であり、アプリケーション層の攻撃検知や入力検査は基本機能に含まれません（ただし一部の高機能LBはWAF機能を統合する場合があります）。

よくある誤解

• 「TLSで暗号化されているとWAFは無力」：TLS終端をWAF側で行えば検査可能です。ただしTLS終端の構成や鍵管理が必要になります。
• 「IPSやファイアウォールも同じ働きをする」：従来型のFW/IPSは主にネットワーク・トランスポート層の制御が中心で、詳細なHTTPパラメータ解析やアプリ固有の攻撃検知はWAFの領域です。
• 「WAFで全ての脆弱性が防げる」：WAFは緩和策であり、完全な代替ではありません。アプリの脆弱性修正や堅牢な入力検証と併用する必要があります。

補足コラム

FAQ