情報セキュリティマネジメント 2016年 春期 午前（科目A） 問13

Webアプリケーションファイアウォール【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題で求められている機能を確認：クライアント→Webサーバの通信内容を検査してSQLインジェクション等を遮断する。
2. 各選択肢の役割を思い出す：
   • SSL-VPN：リモート接続の暗号化・接続管理（トンネル）
   • WAF：Web（HTTP/HTTPS）トラフィックの内容検査・遮断
   • クラスタ構成：可用性・冗長化のための複数台連携
   • ロードバランシング：負荷分散（トラフィック振り分け）
3. 内容検査と遮断を行うものはWAFだけなので、イ を選ぶ。

選択肢別の誤答解説

• ア: SSL-VPN機能
  • SSL-VPN（Secure Sockets Layer Virtual Private Network：インターネット経由で安全に社内ネットワークへ接続する仕組み）は通信を暗号化して安全に接続するためのもので、通信内容の検査・攻撃パターンの遮断を主目的としません。従ってSQLインジェクションの検出・遮断には直接使えません。
• イ: WAF
  • 正解。Webアプリケーション向けにHTTP/HTTPSのリクエスト本文やパラメータを解析し、不正な入力をブロックします。
• ウ: クラスタ構成
  • クラスタは複数のサーバで処理を分担したり冗長化する構成です。可用性や耐障害性を高めますが、通信内容の検査や攻撃遮断の役割はありません。
• エ: ロードバランシング機能
  • ロードバランサはリクエストを複数サーバに振り分ける機能で、性能や可用性向上が目的です。一部のロードバランサは簡易的なヘルスチェックやレイヤー7の振り分けを行えますが、SQLインジェクションのような攻撃検出・遮断はWAFの専門領域です。

よくある誤解

• WAFとロードバランサは同じものだと思う誤解
  • 両者は配備場所が似ていることがあります（例：ネットワークの入り口）が、目的が違います。ロードバランサは「どのサーバに送るか」を決め、WAFは「そのリクエストが安全か」を判定します。
• SSL-VPNやTLSで暗号化されているとWAFが使えないと思う誤解
  • WAFで検査するには通信を復号（TLS終端）できる必要があります。多くのWAFはTLS終端（SSLオフロード）機能を持ち、復号して検査します。復号しないと中身は見えないため検査できません。
• WAFで全ての攻撃が完全に防げると思う誤解
  • WAFは強力ですが、誤検知（正当なリクエストを遮断）や検知漏れ（未知の攻撃や巧妙な回避手法）があります。アプリケーションの安全設計（入力検証やパラメータ化されたSQLなど）と組み合わせる必要があります。

補足コラム

• WAFの検査方式には大きく2種類あります：
  • ホワイトリスト型（ポジティブセキュリティモデル）：許可された入力のみ受け付ける。誤検知は少ないが運用コストが高い。
  • ブラックリスト型（ネガティブセキュリティモデル）：既知の悪意あるパターンをブロックする。簡単だが未知攻撃に弱い。
• 配置例と運用イメージ：社内でWeb公開する場合、WAFをDMZ（公開サーバ群が置かれる中間ネットワーク）にリバースプロキシとして置きます。WAFはログを出すので、定期的にログ確認・ルール更新を行い、本番へ適用する前にステージングでテストします。
• WAFとIPS（Intrusion Prevention System：侵入防止システム）の違い：IPSはネットワーク層・トラフィック全体を監視して既知の攻撃を防ぐのが主目的で、WAFはアプリケーション層（HTTP/HTTPS）に特化して深い検査を行います。

FAQ