平成26年度秋期 システムアーキテクト 午前Ⅱ 問24

登録内容と判定の対応を自分で追う

WAFの検討では、まず各登録方式でパターンが何を表しているかを確かめます。そのうえで、通信がパターンに一致した場合と一致しなかった場合に判定がどちらへ向かうかを、自分の言葉で順に追うことが整理の基本になります。

この問題で問われていること

確認したい観点は一つです。登録されたパターンの意味と、照合の結果が最終的な判定にどう結び付くかを、方式ごとに区別できるかどうかです。判定結果を表す用語も、この流れの中で定義から位置付けてください。

視点

パターン照合型の防御では、登録する側が何を定義しているかによって、登録に該当しない通信の扱いが変わり得ます。どちらの向きの誤りが起こりやすいかは暗記で済ませないでください。登録内容・照合結果・判定の三つを一つの流れとして自分で書き出すと、取り違えを防ぎやすくなります。

確認ポイント

• 各登録方式で、登録されたパターンが何を定義しているかを自分の言葉で説明できるか
• パターンに一致した通信と一致しなかった通信が、それぞれどの判定へ進むかを方式ごとに順に追えたか
• 判定結果を表す用語が、通信の実際の性質と判定との食い違いのどちらの向きを指すかを定義から確認したか

正解

ウ

解説

WAFでは、ブラックリスト方式は不正な通信の特徴を登録して該当時に検出し、ホワイトリスト方式は正常な通信の特徴を登録して、該当しない通信を不正と判定します。したがって適切なのはウです。

理由

ホワイトリスト方式では、あらかじめ正常と認める通信のパターンを登録します。通信がそのパターンに該当しない場合は、許可された正常通信とはみなさず、不正な通信として扱います。この関係を述べているのがウです。

比較

ブラックリスト方式は不正な通信のパターンを登録し、該当する通信を不正と判定する考え方です。一方、ホワイトリスト方式は正常な通信を登録し、登録外の通信を不正と判定するため、両方式の登録対象と判定条件を混同しないことが重要です。

選択肢ア

これは不正解だよ。ブラックリスト方式に正常な通信の検出パターンを登録するという説明が誤りです。また、ブラックリストに該当しない通信を不正と判定するのではなく、通常は登録された不正パターンに該当する通信を不正として検出します。

選択肢イ

これは不正解だよ。不正な通信の検出パターンをブラックリストに登録する前半は適切です。しかし、通信がブラックリストに該当しないときに不正な通信と判定する後半が誤りで、ブラックリスト該当時に不正と判定します。

選択肢ウ（正解）

これは正解だよ。ホワイトリスト方式では、正常な通信の検出パターンをホワイトリストに登録します。実際の通信が登録された正常パターンに該当しない場合は、許可された通信とはみなされず、不正な通信と判定します。

選択肢エ

これは不正解だよ。ホワイトリスト方式に登録するのは不正な通信の検出パターンではなく、正常な通信の検出パターンです。また、ホワイトリストに該当しない通信は正常と判定するのではなく、不正な通信として扱います。

学習のポイント

ブラックリストとホワイトリストの登録対象・不一致時の判定を対比して覚えます。