平成31年度春期 プロジェクトマネージャ 午前Ⅰ 問15

Web防御技術を考える視点

Webアプリケーションの防御を検討するときは、個別の製品名や方式を暗記するより、どの脅威に対して、どの層で、何を守るための対策かを順に整理すると理解しやすくなります。

この問題で問われていること

選択肢を読む際は、説明されている対策の目的と適用される場面に注目し、利用者・通信・アプリケーション・データのどこに関係する話かを切り分けて丁寧に考えてください。

視点

防御技術は名称だけで判断せず、想定する脅威、守る対象、適用位置、期待する効果という観点で整理します。まず役割を一文で言い換え、次に対象と境界を確認し、最後に説明の範囲が問いの主題と合っているかを見直しましょう。

確認ポイント

• 何を守るための対策として説明されているかを確認する
• 想定される脅威や問題と、対策の目的が対応しているかを見る
• 技術そのものではなく、問いが尋ねる役割の範囲に合うかを確認する

正解

ア

解説

WAFはWebアプリケーションの前段などに配置され、HTTPなどの通信を検査して、Webアプリケーションを狙う攻撃を検知・遮断する仕組みです。

理由

WAFはWeb Application Firewallの略で、Webアプリケーションへのリクエストを検査し、SQLインジェクションなどの攻撃を検知して遮断する。したがって、Webアプリケーションへの攻撃を検知し、阻止するという説明がWAFの役割に一致する。

比較

Webブラウザの通信改ざんをPC内で監視する機能、サーバOSへの不正ログインを監視する機能、ファイルへのマルウェア感染を検出する機能は、それぞれ端末やOS、マルウェア対策に関する説明であり、WAFの主な役割とは異なる。

選択肢ア（正解）

これは正解だよ。WAFはWebアプリケーションに送られる通信やリクエストを検査し、アプリケーションを狙った不正な攻撃を検知して遮断する。Webアプリケーションの防御という対象と、攻撃を阻止するという機能が、WAFの役割に一致している。

選択肢イ

これは不正解だよ。説明の対象は、Webブラウザの通信内容を改ざんする攻撃をPC内で監視・検出する機能である。WAFはPC内部のブラウザ動作を主な監視対象とするものではなく、Webアプリケーションへの通信を検査して攻撃を防御する仕組みである。

選択肢ウ

これは不正解だよ。サーバのOSへの不正なログインを監視することは、OSや認証、ログ監視などに関する対策である。WAFが主に検査するのはWebアプリケーション向けの通信であり、サーバOSへのログイン監視そのものを説明したものではない。

選択肢エ

これは不正解だよ。ファイルへのマルウェア感染を監視・検出する機能は、ウイルス対策ソフトなどのマルウェア対策に該当する。WAFはファイル感染を中心に扱うのではなく、Webアプリケーションへの不正なリクエストを検査し、攻撃を防ぐ役割を持つ。

学習のポイント

WAFと、端末やOSを守る他のセキュリティ機能との役割の違いを整理する。