応用情報技術者試験 応用情報技術者試験 平成28年度春期 午前 問40: WAFの説明として，適切なものはどれか。

正解

エ. 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

正答率 81.9%（453人中 371人が正解）

問題の解説

WAF(Web Application Firewall)は、Webアプリケーションを狙う攻撃を防ぐためのファイアウォールである。SQLインジェクションやクロスサイトスクリプティングなどに特徴的なパターンが含まれていないかWebアプリへの通信内容を検査し、不正と判断した操作を遮断する。これを述べたエが正解である。

選択肢ごとの解説

• ア外部から実際に侵入を試みて弱点を探すのはペネトレーションテスト(侵入テスト)の説明であり、通信を検査して遮断するWAFの説明ではないため誤り。
• イTLSの暗号化・復号処理を専用ハードウェアで肩代わりするのはSSLアクセラレータの説明であり、WAFの説明ではないため誤り。
• ウ管理者が質問に答えてセキュリティ対策レベルを自己診断するのはセキュリティチェックシート等による診断の説明であり、WAFの説明ではないため誤り。
• エWebアプリへの通信内容を検査し攻撃の特徴的パターンを見つけて不正な操作を遮断するのはWAFそのものであり、正しい。