ITパスポート 2024年 問90

WAFの説明について【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で出てくるキーワードを探す：今回なら「Webサイト」「Webアプリケーション」「脆弱性」「不審なアクセスのパターン」。
2. それらが何を指すかを思い出す：Webアプリケーションを直接守る仕組みであればWAFの説明に合致する。
3. 他の選択肢と比較する：VPNやDLP、DMZなど別のセキュリティ用語と意味が一致するか確認する。
4. 最も適した説明を選ぶ：キーワードが一致する選択肢を正解とする（本問ではア）。

選択肢別の誤答解説

• ア: 正しい。WAF（Web Application Firewall）はWebアプリケーションの脆弱性を突く攻撃や不審なアクセスを検知・防御する仕組みです。Webアプリに特化した保護を行います。
• イ: 誤り。これはVPN（Virtual Private Network：仮想専用線。インターネット上に安全な通信経路を作る技術）の説明です。VPNは通信経路の秘匿やなりすまし防止に使いますが、Webアプリの脆弱性そのものを防ぐ機能ではありません。
• ウ: 誤り。これはDLP（Data Loss Prevention：情報の持ち出しや漏えいを防ぐ仕組み）の説明です。DLPは機密データを検出・監視して漏えいを防ぐことを目的とします。WAFとは対象と目的が異なります。
• エ: 誤り。これはDMZ（Demilitarized Zone：企業ネットワークと外部の間に置く中立的な領域）を作る説明に近く、ネットワーク境界での構成を説明しています。ファイアウォール（firewall：ネットワーク間の出入りを制御する装置）を用いる点はあるものの、WAFの説明ではありません。

よくある誤解

1. WAFはすべての攻撃を防げると思い込む
   • 説明：WAFは多くの既知攻撃をブロックしますが、万能ではありません。脆弱性を根本的に直す（安全な設計・コーディング）ことが最も重要です。
2. WAFとファイアウォールは同じものだと考える
   • 説明：ファイアウォールはネットワーク層（IPやポート）での制御が中心です。WAFはアプリケーション層（Webのリクエスト内容）を解析して守ります。用途が違います。
3. WAFはデータ漏えい（情報持ち出し）を防ぐ装置だと思う
   • 説明：WAFは攻撃からアプリを守る装置で、機密データの検出・監視を主目的とするDLPとは目的が異なります。

補足コラム

• WAFの導入形態
  • ネットワーク型（専用アプライアンス）：ネットワーク経由で通信を検査します。
  • ホスト型（ソフトウェアモジュール）：Webサーバに組み込んで検査します。
  • クラウドWAF（SaaS：Software as a Service：サービスとして提供されるソフトウェア）：クラウド経由で簡単に導入でき、管理負荷が小さいです。
• WAFでよく防ぐ代表的攻撃
  • XSS（Cross-Site Scripting：悪意あるスクリプトを実行させる攻撃）
  • SQLインジェクション：データベースに不正な命令を送る攻撃
• 効果を最大化するには
  • WAFだけに頼らず、アプリの脆弱性を修正する「セキュアコーディング」や定期的な脆弱性診断を併用してください。

FAQ