基本情報技術者 2023年 科目A 問10

WAF設置位置【午前解説】

正解の理由

解法ステップ

1. 図の各接続に書かれたプロトコル（HTTPS/HTTP）を確認する。
2. WAFが暗号化通信を復号できない前提なので、暗号化（HTTPS/TLS）された経路上には置けないと判断する。
3. 平文のHTTPが流れている接続箇所を探す（SSL終端後）。
4. その位置にWAFを置けば、HTTPリクエスト/レスポンスの内容を検査できるため正解とする。

選択肢別の誤答解説

• ア: a — インターネット側からファイアウォールに入る箇所でありプロトコルはHTTPS。暗号化されたままのトラフィックなので、復号機能がないWAFでは検査できません。
• イ: b — ファイアウォールとSSLアクセラレータ間もHTTPSで暗号化状態です。ここもWAF単体では内容検査不可です。
• ウ: c — （正答）SSLアクセラレータでTLSが終端され、平文のHTTPが流れる箇所です。WAFはここでヘッダやボディを検査でき、Webアプリの脆弱性対策が可能です。
• エ: d — Webサーバとデータベースサーバ間の接続で、これはDBアクセス用のトラフィックです。WAFは主にHTTP層の保護が目的なので、DBアクセス経路に置いてもWebアプリ脆弱性対策には寄与しません。

よくある誤解

• 「ファイアウォールの前に置けば先に検査できる」：ファイアウォール前は暗号化されたままのことが多く、WAFが復号できないと意味がありません。
• 「WAFは何でも防げる」：WAFは入力検査やシグネチャ、振る舞い検出で多くの攻撃を緩和しますが、完全な防御ではなく設定やルールの適切さに依存します。
• 「DB間の通信を守れば安全」：DB保護は重要ですが、SQLインジェクション等はHTTP層での入力検査で防ぐことが多く、WAFはWeb層での対策が主です。

補足コラム

• WAFを暗号化トラフィックの段階で検査したい場合、WAF自体にTLS終端（証明書と秘密鍵を持ち復号する機能）が必要です。図のようにSSLアクセラレータがTLS終端を担当している構成では、WAFをSSLアクセラレータの「後ろ」に置くか、WAFをSSLアクセラレータと統合する設計が現実的です。
• WAFの動作モードには「リバースプロキシ（TLS終端して検査）」「インライン（透明モード）」「監視専用（ミラーリング）」などがあり、配置や証明書管理、パフォーマンス要件に応じて選びます。

FAQ