応用情報技術者試験 応用情報技術者試験 平成28年度春期 午前 問40: WAFの説明として，適切なものはどれか。

正解

エ. 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

正答率 81.9%（453人中 371人が正解）

問題の解説

WAF（Web Application Firewall）は、Web アプリケーションへの HTTP 通信の内容を検査し、SQL インジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを含む通信を遮断する。従来のパケットフィルタ型のファイアウォールが見ない、アプリケーション層の中身まで調べる点が特徴である。

選択肢ごとの解説

• アWeb サーバへ実際に侵入を試みて脆弱性を確かめるのは、ペネトレーションテストである。
• イTLS の暗号化と復号を専用のハードウェアに任せて Web サーバの負荷を下げるのは、TLS（SSL）アクセラレータである。
• ウ質問に答える形で自組織の対策レベルを診断するのは、セキュリティ対策の自己診断（チェックリスト）である。
• エ正しい。Web アプリケーションへの通信内容を検査し、攻撃に特徴的なパターンがあれば不正な操作として遮断するのが WAF である。