応用情報技術者試験 応用情報技術者試験 平成29年度春期 午前 問43: 図のような構成と通信サービスのシステムにおいて，Web アプリケーションの脆弱性対策のための WAF の設置場所として，最も適切な箇所はどこか。ここで，WAF

正解

ウ. c

正答率 81.5%（205人中 167人が正解）

問題の解説

WAF は HTTP の通信内容を調べて、Web アプリケーションへの攻撃を検知・遮断する装置だが、暗号化された通信は復号できない。インターネット側の二つの区間は HTTPS で暗号化されたままで、SSL アクセラレータが復号した後の、Web サーバとの間の HTTP の区間に置くのが適切である。

選択肢ごとの解説

• ア「a」はインターネットとファイアウォールの間で、HTTPS により暗号化されている。WAF は暗号化された通信の内容を検査できない。
• イ「b」はファイアウォールと SSL アクセラレータの間で、ここも HTTPS で暗号化されたままなので、WAF は通信内容を検査できない。
• ウ正しい。「c」は SSL アクセラレータが暗号化を解いた後の HTTP の区間で、Web サーバに届く前に、リクエストの内容を WAF で検査できる。
• エ「d」は Web サーバとデータベースサーバの間の、データベースアクセス用の通信である。WAF は HTTP の通信を検査して Web アプリケーションを守る装置で、この区間には置かない。