情報セキュリティマネジメント 2017年 春期 午前（科目A） 問29

ブラック/ホワイトリスト【情報セキュリティマネジメント解説】

正解の理由

• ブラックリスト（blacklist）：禁止項目のリスト。悪いものを列挙して遮断する方式。
• ホワイトリスト（whitelist）：許可項目のリスト。許可されたものだけを通す方式。
• シグネチャ：既知の攻撃パターンを表す特徴（例：特定の文字列やリクエスト形式）。

解法ステップ

1. WAF が何を見る機器かを思い出す（HTTP/HTTPS の「中身」を検査する装置）。
2. ブラックリスト／ホワイトリストの基本概念を確認する（禁止列挙vs許可列挙）。
3. 各選択肢が「通信の何を基準にしているか」を照合する。
   • IPアドレスやFQDNはネットワーク層やDNSの情報であり、WAFの典型的な説明ではない。
   • 復号鍵の登録は暗号解除の話であり、リスト運用の説明ではない。
4. 最もWAFの動作説明に近い選択肢を選ぶ（通信データパターンを扱うもの → イ）。

選択肢別の誤答解説

• ア: 「ブラックリストは、脆弱性があるWebサイトのIPアドレスを登録する…」
  • 誤り。IPアドレスのブロックは一般的なファイアウォールやネットワークのブラックリストの説明に近く、WAFの典型的説明（アプリケーション層のデータパターン検査）とはずれる。WAFでもIPベースの制御は可能だが、問題文はブラックリストの定義として「通信データパターン」を扱う方が適切。
• イ: 「ブラックリストは、問題がある通信データパターンを定義したものであり、該当する通信を遮断又は無害化する。」
  • 正解。WAFはシグネチャやパターンマッチングで攻撃を検出し遮断・無害化（例：悪意あるスクリプトを除去）する。
• ウ: 「ホワイトリストは、暗号化された受信データをどのように復号するかを定義したものであり…」
  • 誤り。復号（復号化：暗号化されたデータを元に戻すこと）は暗号処理の話。ホワイトリストは許可対象の列挙であり、復号鍵管理の定義ではない。
• エ: 「ホワイトリストは、脆弱性がないWebサイトのFQDNを登録したものであり…」
  • 誤り。ホワイトリストは「許可された振る舞い（リクエストの形式やURI、パラメータなど）」を基にすることが多く、FQDN（Fully Qualified Domain Name：完全修飾ドメイン名）だけを列挙するものではない。加えて「脆弱性がないサイト」を事前に確定するのは現実的でない。

よくある誤解

• ブラックリスト = 単に悪いIPを登録するもの、という誤解
  → WAFのブラックリストは主に「悪いリクエストの特徴（パターン）」を対象とします。IPブロックは別のレイヤーの手法です。
• ホワイトリストは万能で安全、という誤解
  → ホワイトリストは厳格にすればセキュリティは高まりますが、運用が難しく正当なリクエストまで遮断（業務停止）するリスクがあります。
• WAFはすべてのHTTPS通信をそのまま解析できる、という誤解
  → 暗号化された通信の解析にはTLS復号（復号鍵や中継の設定）が必要で、単純なリスト設定とは別の作業です。

補足コラム

• ブラックリスト型（ネガティブセキュリティモデル）とホワイトリスト型（ポジティブセキュリティモデル）
  • ブラックリスト：既知の攻撃パターンをブロック。既知の攻撃には有効だが未知の攻撃は漏れる可能性がある。
  • ホワイトリスト：許可された振る舞いだけを通す。未知の攻撃も遮断しやすいが、許可リストの作成と運用が手間。業務に必要な例外管理が重要。
• 実務での運用イメージ（非IT部門向け）
  • Webサイトに対するルール更新はIT担当と協力して行います。例えば新しいフォームを導入したら、それに合った許可ルールを追加しないと正当な利用者が弾かれることがあります。運用は「検知ログを監視→誤検知のチューニング→ルール更新」が基本サイクルです。
• HTTPS の検査について
  • WAFでHTTPS通信を検査するには、WAFでTLSを終端（復号）する設定が必要です。これは証明書や鍵の管理、プライバシー配慮（個人情報の取り扱い）などが伴います。

FAQ