情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問30: WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストに関する記述のうち，適切なものはどれか。

問題本文

WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストに関する記述のうち，適切なものはどれか。

選択肢

• ア.ブラックリストは，脆弱性がある Web サイトの IP アドレスを登録したものであり，該当する IP アドレスからの通信を遮断する。
• イ.ブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断する。
• ウ.ホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。
• エ.ホワイトリストは，脆弱性がない Web サイトの FQDN を登録したものであり，登録がない Web サイトへの通信を遮断する。

正解

イ. ブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断する。

解説

WAFがWebアプリへの攻撃を検知する際のブラックリスト/ホワイトリストの役割を問う問題で、正解はイである。WAFは通信データの中身(パターン)を検査し、ブラックリストは攻撃を示す危険な通信パターンを定義して該当通信を遮断する。逆にホワイトリストは正常な通信パターンを定義し、それ以外を遮断する方式であり、いずれもIPアドレスやFQDN単位の制御ではない。

選択肢ごとの解説

• ア.WAFのブラックリストは通信データのパターンを対象とするものであり、WebサイトのIPアドレスを登録して遮断するという記述は誤り。
• イ.ブラックリストは攻撃を示す問題のある通信データパターンを定義し、合致する通信を遮断するものであり、正しい。
• ウ.ホワイトリストは復号方法を定義するものではなく、正常な通信パターンを定義するものなので誤り。
• エ.WAFのホワイトリストは許可する通信パターンを定義するものであり、WebサイトのFQDNを登録するという記述は誤り。