SC情報処理安全確保支援士試験午前Ⅱ

令和5年度春期情報処理安全確保支援士午前Ⅱ 問10

問題文と選択肢を読んで答えを考えてから、下の「正解と解説を見る」で確認しましょう。

問題

WAFにおけるフォールスポジティブに該当するものはどれか。

ア
HTMLの特殊文字 “<”を検出したときに通信を遮断するようにWAFを設定した場合、 “<” などの数式を含んだ正当なHTTPリクエストが送信されたとき、 WAFが攻
イ
撃として検知し、遮断する。
ウ
HTTPリクエストのうち、 RFCなどに仕様が明確に定義されておらず、 Webアプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについてはWAFが検査しないという仕様を悪用して、攻撃の命令を埋め込んだHTTPリクエストが送信されたとき、 WAFが人遮断しない。
エ
。HTTPリクエストのパラメータ中に許可しない文字列を検出したときに通信を人断するようにWAFを設定した場合、許可しない文字列をパラメータ中に含んだ不正なHTTPリクエストが送信されたとき、 WAFが攻撃として検知し、遮断する。

解き方のヒントを見る

WAFのフォールスポジティブは、たとえるなら、ちゃんと入っていいお客さんを警備員が不審者だと勘違いして止めてしまうようなものだよ。つまり、本来は許可すべき正当なHTTPリクエストを、攻撃だと誤って判断して遮断してしまうことなんだ。

ポイントは、「誤検知」と「見逃し」の違いを区別できるかだよ。フォールスポジティブは正しいリクエストを攻撃と間違えること、見逃しは本物の攻撃を通してしまうこと、と整理しよう。

正当通信を攻撃扱いして止めるのが false positive です。

正当通信\n-> 攻撃と誤判定\n-> 遮断

正解と解説を見る

ア

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

正解だよ。これは、数式で普通に使った「<」を、WAFが攻撃用の危ない記号だと早とちりして止めてしまう話だよ。普通のお客さんを泥棒と間違えて追い返すようなものなので、正当な通信を誤検知する「フォールスポジティブ」に当たるよ。

不正解だよ。これは、泥棒が荷物を小分けにして警備員の目をごまかし、通れてしまうような話だね。悪意ある通信をWAFが遮断できていないので「見逃し」、つまりフォールスネガティブであって、フォールスポジティブではないよ。

不正解だよ。これは、本当は泥棒なのに、警備員であるWAFが見ていない通用口を使われて通してしまう話だね。悪い通信を見逃しているので「フォールスネガティブ」であって、正しい通信を誤って止める「フォールスポジティブ」ではないよ。

不正解だよ。これは、入館禁止リストに載っている人を警備員が見つけて、ちゃんと止めたようなものだよ。不正なHTTPリクエストを攻撃として検知して遮断しているので、WAFとして期待どおりの動きだね。

出典：独立行政法人情報処理推進機構（IPA）令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問10（公式資料：問題冊子（PDF）／解答例）