SC情報処理安全確保支援士試験午後Ⅰ

平成22年度秋期情報処理安全確保支援士午後Ⅰ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webアプリケーションに脆弱性が発見された場合に，Webサイトが置かれた環境やその他の諸事情によって，脆弱性の修正作業が長期化する事例が少なくない。本問では，脆弱性を悪用した攻撃からWebアプリケーションを保護するためのWebアプリケーションファイアウォール（WAF）の導入を題材として，WAFが有効な状況，WAFの機能，WAFの導入における留意点などの理解を問う。

解き方のヒントを見る

問03：FWとWAFの役割を、入口の警備員と専門チェック係で考えよう

この問題では、WAFを入れるときに「どのシグネチャを止めても大丈夫か」「クッキーはどこで見られるのか」「セッションIDをどう守るのか」を確認することが大事だよ。お店に新しい防犯ゲートを置く前に、何を検知して、どこを通る人を見て、貴重品をどう守るかを整理するイメージで考えよう。

この問題で問われていること

FWは通信の通行可否を見る門番、WAFはWebアプリへの攻撃を細かく見る専門チェック係だよ。さらに、SSLをどこで復号するかによってWAFが中身を見られるかが変わるので、FWとWAFの役割の違い、SSL終端の場所、導入時の注意点をセットで整理できるかがポイントだよ。

WAF Deployment Considerations

a WAF inspects HTTP payloads that a firewall cannot、 but encrypted SSL traffic must be terminated before inspection

FW checks headers\nWAF checks HTTP body\nSSL must be terminated first

確認ポイント

FW と同じ役割ではありません。
SSL 暗号化区間では検査できない。
無効化するシグネチャの前提脆弱性も確認する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000004d6f-att/2010h22a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000004d6f-att/2010h22a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000004d6f-att/2010h22a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成22年度秋期情報処理安全確保支援士試験午後Ⅰ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

平成22年度秋期 情報処理安全確保支援士 午後Ⅰ 問3

問題