Webアプリケーションファイアウォール（WAF）とは？

Webアプリケーションファイアウォール（WAF）の意味

Webアプリケーションへの通信内容（HTTPリクエストの中身）を検査し、SQLインジェクションやXSSなど、Webアプリケーション特有の攻撃パターンを検知・遮断する仕組み。通常のファイアウォールがポート番号やIPアドレス単位で制御するのに対し、WAFはアプリケーション層の通信内容まで踏み込んで検査する。

Webアプリケーションファイアウォール（WAF）の具体例

入力フォームに不正なSQL文の断片が含まれるリクエストが送られてきた場合、WAFがそのパターンを検知してリクエストを遮断し、データベースへ届く前に攻撃を防ぐ。

Webアプリケーションファイアウォール（WAF）は試験でどう引っ掛けられる？

ポート番号やIPアドレスで絞るのがファイアウォール、HTTPの中身まで検査するのがWAFで、守備範囲の取り違えが定番。SQLインジェクションやXSSの遮断はWAFの役目だが、WAFを入れてもアプリ側の脆弱性そのものが直るわけではない。

Webアプリケーションファイアウォール（WAF）と関連する用語

• SQLインジェクション・クロスサイトスクリプティング（XSS）
• ファイアウォール・IDS・IPS

Webアプリケーションファイアウォール（WAF）が出た過去問

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）

• クライアントとWebサーバの間において，クライアントからWebサーバに送信されたデータを検査して，SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPの通信内容そのものを検査し、攻撃に典型的なパターンを含むリクエストを遮断する。パケットヘッダしか見ない従来型ファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングへの対策として位置付けられる。アプリケーション改修が難しい場合の緩和策としても使われる。

  出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）

• 図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適切な箇所はどこか。ここで,WAFには通信…

  正解：c

  要点：WAFは復号後の平文HTTP区間に置かないと検査できない

  WAFはHTTPの中身（リクエストのパラメタなど）を検査してWebアプリケーションへの攻撃を防ぐ装置である。本問のWAFは暗号化・復号の機能をもたないため、HTTPSで暗号化されたままの区間に置いても中身を検査できない。SSLアクセラレータで復号された後、Webサーバの手前にあたる平文HTTPの区間に設置するのが適切である。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの中身を検査し攻撃を遮断する仕組み

  WAFはWebアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃とみなせるパターンを検知して遮断する仕組みである。ネットワーク層で通信を絞るファイアウォールとは異なり、HTTPの中身まで見る点が特徴になる。WPA2やSIEM、UTMとは目的が異なる。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）