情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問20

Webアプリケーション防御【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「WAF」という用語の意味を思い出す。WAF = Web Application Firewall（ウェブアプリケーション向けの防御装置）。
2. WAFが“何を見るか”を確認する。WAFはパケットの中身（HTTPのリクエスト/レスポンス）をチェックする点が特徴。
3. 選択肢の記述と突き合わせる。通信中身の検査・パターンで遮断する説明が合致するものを選ぶ。

選択肢別の誤答解説

• ア: DMZに設置されているWebサーバへの侵入を外部から実際に試みる。
  → これはペネトレーションテスト（侵入テスト）の説明です。WAFの機能説明ではありません。
• イ: TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行うことによって、WebサーバのCPU負荷を軽減するために導入する。
  → これはTLSオフロード（SSLアクセラレータ）やロードバランサの機能説明に近いです。WAFは必ずしもTLSオフロード専用ではありません（実装によってはTLS終端を行うこともありますが、主目的は通信内容の検査です）。
• ウ: システム管理者が質問に答える形式で、自組織の情報セキュリティ対策のレベルを診断する。
  → これはセキュリティ診断やセルフアセスメントの説明です。WAFとは無関係です。
• エ: 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して、不正な通信を遮断する。
  → これがWAFの定義に合致します。したがって正答はエです。

よくある誤解

1. WAFはネットワークファイアウォールと同じものだと思う。
   → ネットワークファイアウォールは主にIPアドレスやポートなど「パケットヘッダ」を基に制御します。WAFはHTTPなどの「中身（アプリ層）」を見て判断します。用途が異なります。
2. WAFがあればすべての脆弱性を防げると思う。
   → WAFは防御を強化しますが、アプリケーション自体の欠陥（脆弱な設計や実装）を根本的に修正するものではありません。WAFはあくまで補助的な防御です。

補足コラム

• 主な防御対象と例
  • SQLインジェクション：データベースを不正操作される攻撃。
  • XSS（クロスサイトスクリプティング）：利用者のブラウザ上で不正なスクリプトが動く攻撃。
    WAFはこれらの攻撃パターンを検出して遮断します。
• 配置イメージ（職場での運用イメージ）
  • 普通はWebサーバの前段に置き、全てのWebトラフィックをWAF経由にします。運用では「誤検知（正当な通信がブロックされる）」を減らすため、ルールのチューニングやログの監視が必要です。
• モデルの違い
  • ブラックリスト型（悪いパターンをブロック）とホワイトリスト型（許可された振る舞いのみ許可）があります。ホワイトリストはより厳格ですが運用が難しくなります。

FAQ