情報処理安全確保支援士試験 令和5年度 春期 午前II 問10

【正解】ア

フォールスポジティブとは、本来は正常であるものを、検査システムが誤って異常又は攻撃と判定することです。アでは、数式を入力する正当なリクエストに含まれる「<」を、WAFが攻撃用の特殊文字と判断して遮断しています。実際には正常な通信であるにもかかわらず、検知結果が陽性、すなわち攻撃ありになっているので、フォールスポジティブに該当します。日本語では偽陽性、過検知とも呼ばれます。

イのWAFが攻撃を遮断しない事象は誤りです。実際には不正な通信であるのに正常と判定しているため、フォールスネガティブ、すなわち偽陰性又は検知漏れに該当します。独自フィールドが検査対象外であるという仕様を悪用した回避です。

ウの不正なリクエストを攻撃として検知し、遮断する事象は誤りです。実際の状態が不正で、判定も攻撃ありなので、これはトゥルーポジティブ、すなわち正しい検知です。WAFが意図どおりに機能しています。

エの悪意ある分割通信を遮断しない事象は誤りです。実際には攻撃であるのに正常な通信と判定しているため、フォールスネガティブです。リクエストの分割や難読化は、検査をすり抜けるためのWAF回避手法として用いられることがあります。

【ポイント】 ポジティブは「攻撃と判定」、ネガティブは「正常と判定」を意味します。 判定が事実と一致すればトゥルー、一致しなければフォールスです。「正常を遮断＝偽陽性」「攻撃を通過＝偽陰性」と整理します。