情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問20: WAF の説明として，適切なものはどれか。

正解

エ. 特徴的なパターンが含まれるかなど Web アプリケーションへの通信内容を検査して，不正な通信を遮断する。

正答率 76.8%（56人中 43人が正解）

問題の解説

WAF（Web Application Firewall）は、Webアプリケーション宛ての通信内容（HTTPリクエスト等）を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを検出して不正な通信を遮断する仕組みである。アプリケーション層に特化して防御する点が特徴である。通信内容を検査して不正な通信を遮断するとしたエが正解である。

選択肢ごとの解説

• ア誤り。実際に侵入を試みて脆弱性を確認するのはペネトレーションテストであり、WAFではない。
• イ誤り。TLSの暗号化・復号を専用ハードウェアで肩代わりしCPU負荷を下げるのはSSLアクセラレータの説明である。
• ウ誤り。質問に答えてセキュリティ対策レベルを自己診断するのはチェックリスト型の自己評価ツールの説明である。
• エ正しい。Webアプリへの通信内容を検査し攻撃パターンを含む不正な通信を遮断するのがWAFである。