情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度春期 午前Ⅱ 問10: WAF におけるフォールスポジティブに該当するものはどれか。

正解

ア. HTML の特殊文字“<”を検出したときに通信を遮断するように WAF を設定した場合，“<”などの数式を含んだ正当な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。

正答率 100.0%（1人中 1人が正解）

問題の解説

フォールスポジティブ(偽陽性)とは、正当な通信を誤って攻撃と判定し遮断してしまうこと。逆に攻撃を見逃すのは偽陰性(フォールスネガティブ)。アは、数式の不等号で使う正当な「<」を含むリクエストをWAFが攻撃と誤検知して遮断する例であり、まさに偽陽性で正解。実務ではシグネチャを厳しくすると偽陽性が増え業務影響が出るため、検知精度のチューニングが重要となる。

選択肢ごとの解説

• ア正当な「<」を含むリクエストを攻撃と誤検知し遮断する例はまさに偽陽性で正しい。
• イ検査対象外の独自フィールドを悪用され攻撃を見逃す例は偽陰性であり偽陽性ではなく誤り。
• ウ不正なリクエストを正しく攻撃と判定し遮断する例は正常な検知であり偽陽性ではなく誤り。
• エ分割送信で検知を回避され遮断できない例は偽陰性(検知漏れ)であり偽陽性ではなく誤り。