平成24年度春期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09：WAFは“Webアプリを守る門番”として見るんだよ

PCI DSSでは、WAFは単なるネットワークの壁ではなく、Webアプリの開発・保守で求められる脆弱性対策として登場するよ。

この問題で問われていること

この問題では、WAFをどの要件の文脈で読むかがポイントだよ。会社の入口にある普通のファイアウォールというより、Webアプリの前に立って怪しい入力や攻撃を見張る門番、と考えよう。

WAF の守備範囲

WAF は Web アプリケーション層の攻撃を抑える仕組みです。ですから、ネットワーク境界のファイアウォール要件ではなく、アプリケーションを安全に作り、保守する要件として読むのが自然です。

ネットワーク境界 -> FW\nWebアプリ脆弱性対策 -> WAF

確認ポイント

• カード会員データの保護やアクセス制御とは役割が違います。
• WAF は Web アプリケーション攻撃への防御です。
• 要件は、対象層で対応付けて考えましょう。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。要件1のファイアウォールは、家の外周にある門や塀のように、ネットワークへの出入りを管理するもの。今回のポイントはWebアプリの中身を狙う攻撃を防ぐWAFなので、単なるネットワークの門番である要件1とは少し役割が違うよ。

選択肢イ

これは不正解だよ。要件3は、保存してあるカード情報を守る話で、金庫の中の書類を暗号化したり、見えにくくしたりするイメージだよ。WAFは保存済みデータそのものを保護する道具ではなく、Webアプリに届く怪しいリクエストを防ぐものなので、要件3とは目的が違うよ。

選択肢ウ（正解）

これは正解だよ。WAFは、Webアプリの前に立つ警備員みたいなもの。普通のファイアウォールが「この道を通っていいか」を見る門番だとすると、WAFは中身まで見て「変な注文書を出して攻撃してない？」とチェックするんだ。SQLインジェクションやXSSのようなアプリの弱点を狙う攻撃を防ぐので、「安全性の高いシステムとアプリケーションを開発し、保守する」要件6に当たるよ。

選択肢エ

これは不正解だよ。要件7は「必要な人だけがカード情報を見られるようにする」話で、会社の金庫の合鍵を担当者だけに渡すイメージだよ。WAFは人の権限管理ではなく、Webアプリへの攻撃を入口で検知・遮断する仕組みなので、要件7ではないよ。