応用情報技術者試験 応用情報技術者試験 平成29年度秋期 午前 問45: WAF の説明はどれか。

問題本文

WAF の説明はどれか。

選択肢

• ア.Web アプリケーションへの攻撃を監視し阻止する。
• イ.Web ブラウザの通信内容を改ざんする攻撃を PC 内で監視し検出する。
• ウ.サーバの OS への不正なログインを監視する。
• エ.ファイルのマルウェア感染を監視し検出する。

正解

ア. Web アプリケーションへの攻撃を監視し阻止する。

解説

WAF(Web Application Firewall)の機能を問う問題である。WAF は Web サーバの手前に配置し、SQL インジェクションやクロスサイトスクリプティングといった Web アプリケーションの脆弱性を突く攻撃を、HTTP リクエストの内容を検査して監視・遮断する仕組みであるため、選択肢アが正解である。通常のファイアウォールが IP アドレスやポート単位で制御するのに対し、WAF はアプリケーション層の通信内容まで見て防御する点が特徴である。

選択肢ごとの解説

• ア.正しい。WAF は Web アプリケーションを狙った攻撃を監視し、不正なリクエストを阻止する役割を持つ。
• イ.誤り。PC 内で Web ブラウザの通信改ざん(MITB 攻撃など)を監視・検出するのはエンドポイント側のセキュリティソフトの機能で、WAF ではない。
• ウ.誤り。サーバ OS への不正ログインの監視は IDS/IPS やホスト型監視の役割であり、WAF はアプリケーション層の Web 通信を対象とする。
• エ.誤り。ファイルのマルウェア感染の監視・検出はウイルス対策ソフト(アンチマルウェア)の機能で、WAF とは異なる。