平成28年度春期 データベーススペシャリスト 午前Ⅰ 問13

役割と適用範囲を整理する視点

WAFを考えるときは、何を守るための仕組みか、どの通信や処理の段階に関係するかを分けて整理し、名称や印象だけで判断しないことが大切です。

この問題で問われていること

確認する観点を、保護対象と処理の位置づけの対応関係に一つだけ絞り、説明がどの範囲を対象としているかを問題文と照らし合わせて考えます。

視点

技術の役割を判断するときは、保護したい対象、関与する処理の段階、想定される利用場面の関係を整理し、説明の対象範囲と一致しているかを確認します。

確認ポイント

• 保護対象の範囲が説明と対応しているか
• 通信や処理のどの段階に関係する説明か
• 名称ではなく対象範囲との整合性で判断できるか

正解

エ

解説

WAFはWebアプリケーションへの通信内容を検査し、攻撃に特徴的なパターンなどを検出して不正な操作を遮断する。

理由

WAFはWebアプリケーションファイアウォールであり、WebアプリケーションへのHTTPなどの通信を検査する。攻撃に特徴的なパターンを検出した場合、その通信や操作を遮断する。

比較

侵入を試みる行為は侵入テスト、TLSの暗号化・復号を専用機器で行うのはSSLアクセラレータなどの役割、質問形式で対策レベルを診断するのは診断サービスの役割です。

選択肢ア

これは不正解だよ。DMZ上のWebサーバへ外部から実際に侵入を試みるのは、脆弱性や防御状況を確認する侵入テストに当たる。WAFは自ら侵入を試みるものではなく、Webアプリケーションへの通信を検査して不正な操作を遮断する仕組みである。

選択肢イ

これは不正解だよ。TLSによる暗号化と復号をWebサーバではなく専用ハードウェアで行い、CPU負荷を軽減する機能はSSLアクセラレーションなどに当たる。これは暗号処理の負荷分散に関する説明であり、通信内容の不正検査を行うWAFの説明ではない。

選択肢ウ

これは不正解だよ。システム管理者が質問に答える形式で、自組織の情報セキュリティ対策のレベルを診断するのは、チェックリストや評価サービスによる診断である。WAFは質問への回答で評価するものではなく、Web通信を検査する装置である。

選択肢エ（正解）

これは正解だよ。WAFはWebアプリケーションへの通信内容を検査し、攻撃に特徴的なパターンなどを検出して、不正な操作を遮断する。Webサーバそのものへの侵入試験やTLS処理の負荷軽減ではなく、Webアプリケーション層の防御を担う説明になっている。

学習のポイント

WAFの保護対象と通信検査の役割を、他のセキュリティ機能と区別して覚える。