情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問14
問題文
WAFにおけるフォールスポジティブに該当するものはどれか。
選択肢
ア：HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合、“<”などの数式を含んだ正当なHTTPリクエストが送信されたとき、WAFが攻撃として検知し、遮断する。（正解）
イ：HTTPリクエストのうち、RFCなどに仕様が明確に定義されておらず、Webアプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについてはWAFが検査しないという仕様を悪用して、攻撃の命令を埋め込んだHTTPリクエストが送信されたとき、WAFが遮断しない。
ウ：HTTPリクエストのパラメタとして許可する文字列以外を検出したときに通信を遮断するようにWAFを設定した場合、許可しない文字列を含んだ不正なHTTPリクエストが送信されたとき、WAFが攻撃として検知し、遮断する。
エ：悪意のある通信を正常な通信と見せかけ、HTTPリクエストを分割して送信されたとき、WAFが遮断しない。
🔒 解説は解答すると表示されます
フォールスポジティブ【情報セキュリティマネジメント解説】
正解の理由
WAF（Web Application Firewall：Webアプリケーションへの攻撃を検出・防御する仕組み）は、正常な通信を攻撃と誤って判断して遮断することがあります。これを「フォールスポジティブ（誤検知）」と呼びます。選択肢アは、HTMLの特殊文字「<」を単純に検出して遮断する設定により、数式など正当なHTTPリクエストまで攻撃扱いして遮断してしまう例です。これはまさに正常な通信を誤って遮断しているため、フォールスポジティブに該当します。
（補足）RFC（Request for Comments：インターネット技術の仕様書）やHTTPなどの用語は、本文中で説明しています。
解法ステップ
- 各選択肢が「正当な（正常な）通信を遮断しているか」を確認する。
- 正常な通信が攻撃と判定されて遮断されていれば「フォールスポジティブ」。
- 逆に、攻撃を見逃して通している場合は「フォールスネガティブ（誤検知で見逃し）」に該当する。
- 選択肢の記述が「遮断しない」「見逃す」「防ぐ」などどちらを示すかで判断する。
短く言えば：「正常なものをブロック＝フォールスポジティブ」「悪意あるものを通す＝フォールスネガティブ」。
選択肢別の誤答解説
-
ア（正解）
HTMLの特殊文字「<」を検出して遮断する設定により、数式など正当なリクエストまで攻撃と判断して遮断している。正常な通信を誤ってブロックしているためフォールスポジティブの典型例です。 -
イ
「仕様が明確でない独自フィールドをWAFが検査しないため攻撃が通る」という記述は、WAFが攻撃を検知できずに見逃す状況です。これはフォールスネガティブ（誤検知で見逃し）に当たり、フォールスポジティブではありません。RFC（Request for Comments：仕様書）に基づかない独自仕様の扱いは検査漏れの原因になります。 -
ウ
許可した文字列以外を検出して遮断する設定で、不正なリクエストを遮断しているなら、それは期待どおりの「検知（真陽性）」です。ここでは正常な通信を誤って遮断しているとは書かれていないため、フォールスポジティブではありません。逆に適切な入力検査の例です。 -
エ
通信を分割して送信するなどの回避手段でWAFが遮断しない場合は、WAFの見逃し＝フォールスネガティブです。攻撃が通過してしまう例であり、フォールスポジティブではありません。
よくある誤解
- フォールスポジティブ＝「攻撃を通す」：誤りです。攻撃を通すのはフォールスネガティブ（見逃し）です。フォールスポジティブは「正常を攻撃と誤判定してブロックする」ことです。
- 「厳しく設定すれば安全」＝常に正しくない：検査を厳しくすると誤検知（フォールスポジティブ）が増え、業務が止まるリスクがあります。セキュリティと利便性のバランスが必要です。
- フォールスポジティブは単なる“うざい挙動”ではない：重要な取引や業務が遮断されると、ビジネス損失や対応工数が発生します。運用上の重大問題になり得ます。
補足コラム
実務では、WAFの導入後に一定期間「検知のみ（アラート）」で運用してログを確認し、誤検知が多いルールをチューニングします。具体的には：
- ログ分析で誤検知のパターンを洗い出す。
- 例外（ホワイトリスト）を設定する。
- ルールの閾値やシグネチャ（検出パターン）を調整する。
- アプリ開発者と協働して、アプリ側を正規化（入力検査やエンコード）する。
現場イメージ：総務や営業で使う社内ポータルが遮断されたら、まずWAFのログを担当者が確認して「その通信は正当か」をレビューし、必要ならWAFルールを緩める手順を決めておきます。
FAQ
Q1: フォールスポジティブを減らすにはどうすればよいですか？
A1: 段階的な導入（アラート運用→チューニング→遮断運用）、ルールの調整、アプリ側の入力正規化、ホワイトリストの活用、定期的なログレビューが有効です。
A1: 段階的な導入（アラート運用→チューニング→遮断運用）、ルールの調整、アプリ側の入力正規化、ホワイトリストの活用、定期的なログレビューが有効です。
Q2: フォールスポジティブが起きたらどう対応すべきですか？
A2: まずログで該当通信を確認し、業務に影響があるかを判断します。正当な通信ならルールを緩めるか例外設定を行い、同様の発生を防ぐためにルール調整と手順書を更新します。
A2: まずログで該当通信を確認し、業務に影響があるかを判断します。正当な通信ならルールを緩めるか例外設定を行い、同様の発生を防ぐためにルール調整と手順書を更新します。
Q3: WAFとIDSの違いは？（略語説明）
A3: WAFはWebアプリケーションを対象に攻撃を防ぐ装置。IDS（Intrusion Detection System：侵入検知システム）はネットワークやシステム上の侵入の兆候を検知する装置で、必ずしも遮断しません。用途と動作が異なります。
A3: WAFはWebアプリケーションを対象に攻撃を防ぐ装置。IDS（Intrusion Detection System：侵入検知システム）はネットワークやシステム上の侵入の兆候を検知する装置で、必ずしも遮断しません。用途と動作が異なります。
関連キーワード: WAF、フォールスポジティブ、フォールスネガティブ、シグネチャ、ルールチューニング、RFC、入力検査、ホワイトリスト、アラート運用
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！