令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

午前II 問12：正しい通信を攻撃だと勘違いするケース

数式入力みたいに、本当は問題ないHTTPリクエストなのに、セキュリティ機器が「これは攻撃かも！」と勘違いして止めてしまうことをフォールスポジティブというよ。たとえるなら、空港の検査で安全な荷物なのに危険物扱いされて止められるようなものだね。

この問題で問われていること

フォールスポジティブは「安全なのに危険と判定すること」、フォールスネガティブは「危険なのに安全と見逃すこと」だよ。この2つを取り違えないようにしよう。

WAF false positive

正当通信を誤って止めるのが false positive です。

正当通信\n-> 誤検知\n-> 遮断

確認ポイント

• 攻撃通信を通してしまうのは false negative です。
• 禁止文字列を含む不正通信を遮断するのは正常動作です。
• 正当な数式入力の誤遮断を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは間違いだよ。数式として入力された「<」のような文字を攻撃と誤って止めるのは、WAFの正常な検知ではなく、いわゆる誤検知の例だよ。空港の検査で、危険物ではない日用品まで危険物扱いして止めてしまうようなものだね。

選択肢イ

これは間違いだよ。独自に追加されたHTTPフィールドでも、WAFが必ず検査しないとは限らないんだ。受付表に見慣れない欄があっても、警備員が中身を確認する設定なら見られるよね。だから『独自フィールドならWAFをすり抜ける』と決めつけるのは不正確だよ。

選択肢ウ

これは間違いだよ。許可しない文字列を見つけたら遮断する設定にしていて、その文字列を含む不正リクエストが来たなら、WAFが止めるのは期待どおりの動きだよ。門番が『この合言葉は禁止』と知っていて、その合言葉を聞いたら通さない、という話だね。

選択肢エ

これは間違いだよ。HTTPリクエストを分割して送る攻撃は、荷物を小分けにして怪しい物を隠すようなイメージだけど、WAFは通常、通信を組み立て直して中身を確認する機能をもつ。だから「分割されたら必ず見逃す」とは言えないんだ。