情報処理安全確保支援士 2023年 春期 午前2 問10

WAFのフォールスポジティブ【午前2解説】

正解の理由

解法ステップ

1. フォールスポジティブとフォールスネガティブ（誤検出と見逃し）の定義を確認する。
   • フォールスポジティブ：正常を攻撃と判定（誤検知）
   • フォールスネガティブ：攻撃を正常と判定（見逃し）
2. 各選択肢を「誤検知」「見逃し」「正当な検知（真陽性）」のどれに当たるか分類する。
3. 正しく「正常が攻撃と判定される」事象に該当する選択肢を選ぶ（この問題ではア）。

選択肢別の誤答解説

• ア: HTMLの特殊文字 '<' を検出して遮断するため、実際は正当なリクエストに含まれる場合でもブロックしてしまう。正常通信を誤って攻撃として扱うためフォールスポジティブの典型例。
• イ: WAFが独自フィールドを検査しない仕様を悪用して攻撃命令が埋め込まれ、WAFが遮断しない事例は「見逃し（フォールスネガティブ）」であり、フォールスポジティブではない。
• ウ: 許可しない文字列を検出して不正リクエストを遮断する挙動は、本来の攻撃検知（真陽性）に該当する。条件どおり不正をブロックしているので誤検知ではない。
• エ: 通信を分割して送ることでWAFが遮断しないのは、回避（evasion）による見逃しでありフォールスネガティブである。

よくある誤解

• 定義の混同：フォールスポジティブ（誤検知）とフォールスネガティブ（見逃し）を取り違える受験者が多い。問題文で「正常が遮断される」か「攻撃が見逃される」かを確実に判別する。
• 「遮断＝正解」ではない：遮断したからといって常に正しい挙動とは限らず、正当なトラフィックを阻害していれば誤検知になる。
• ルールの粒度不足を見落とす：単純に特定文字をグローバルにブロックすると、文脈次第で正当なデータも阻害しやすい。

補足コラム

• コンテキスト検査：パラメータの想定データ型やコンテンツタイプを考慮して判定する（例：HTML断片や数式を許容するエンドポイントを識別）。
• 正規化とデコード：エンコードされた入力を正規化してから評価することで誤判定を減らす。
• ホワイトリスト（Allowlist）：許容する入力パターンを明示して例外を設ける。
• ログと検証環境：ブロッキング前に検知ログを取り、影響を確認してから本番で遮断に切り替える（検出モード→防御モードの段階運用）。

FAQ