基本情報技術者試験 令和5年度 科目A 公開問題 問10

【正解】ウ

WAFは、Webアプリケーションに届くHTTP通信の内容を調べ、SQLインジェクションやクロスサイトスクリプティングなどの攻撃を検知、遮断する仕組みです。図では、インターネットからSSLアクセラレータまではHTTPSで暗号化され、SSLアクセラレータからWebサーバまでは復号後のHTTPで通信しています。このWAFには暗号化や復号の機能がないため、通信内容を検査でき、かつWebサーバへ到達する前であるcに設置するのが最も適切です。

アのaは誤りです。インターネットとファイアウォールの間はHTTPSであり、WAF自身が復号できないので、HTTPの要求内容を検査できません。

イのbは誤りです。ファイアウォールを通過した後でも、SSLアクセラレータへ届くまではHTTPSで暗号化されています。そのため、WAFは攻撃を示す文字列などを確認できません。

エのdは誤りです。ここはWebサーバとデータベースサーバの間で、データベースアクセス用サービスが使われる区間です。利用者からのHTTP要求をWebサーバの手前で検査する設置場所ではなく、攻撃への対処も遅くなります。

【ポイント】 WAFは、Webアプリケーション層のHTTP要求や応答を検査します。 HTTPS環境では、WAFが復号機能をもたない場合、SSLを終端して平文に戻した後、Webサーバの前に配置します。