WAFとは？

WAFの意味

HTTP／HTTPSの内容を解析し、SQLインジェクションやXSSなどWebアプリを狙う攻撃パターンを検知・遮断する仕組み。ネットワーク型ファイアウォールでは判別できないアプリ層の攻撃を対象とする。

WAFの具体例

脆弱性の修正がすぐにできない場合に、該当する攻撃パターンだけを遮断する「仮想パッチ」として時間を稼ぐ使い方がある。

WAFは試験でどう引っ掛けられる？

WAFはあくまで緩和策。アプリ側の根本修正（プレースホルダの使用など）の代替にはならない。またHTTPSを検査するには復号（SSLインスペクション）が必要になる。

WAFと関連する用語

• ファイアウォール
• SQLインジェクション
• 仮想パッチ

WAFが出た過去問

• ステートフルパケットインスペクション方式のファイアウォールの特徴はどれか。

  正解：パケットフィルタリングを拡張した方式であり,過去に通過したパケットから通信セッションを認識し,受け付けたパケットを通信セッションの状態に照らし合わせて通過させるか遮断するかを判断する。

  要点：ステートフルはセッション状態と照合して通過可否を判断する

  ステートフルパケットインスペクションは、パケットフィルタリングを拡張し、通過したパケットから通信セッションの状態表（ステートテーブル）を作って保持する方式である。応答パケットが正当なセッションに対応するものかを状態と突き合わせて判定するため、戻り方向の通信を静的なルールで広く開ける必要がなくなる。アプリケーション層の内容までは原則として検査しない点で、プロキシ型やWAFとは区別される。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問6（IPA）

• WAFにおけるフォールスポジティブに該当するものはどれか。

  正解：HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合,“<”などの数式を含んだ正当なHTTPリクエストが送信されたとき,WAFが攻撃として検知し,遮断する。

  要点：フォールスポジティブは正当な通信を攻撃と誤判定して遮断すること

  フォールスポジティブ(偽陽性)とは、正当な通信を攻撃と誤って判定してしまうことをいう。アは数式中の不等号を含む正常なリクエストが遮断される例なので、これが該当する。逆に攻撃を見逃すのがフォールスネガティブ(偽陰性)で、イとエがその例である。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）

• WAFにおけるフォールスポジティブに該当するものはどれか。

  正解：HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合,数式を入力するWebサイトに“<”を数式の一部として含んだHTTPリクエストが送信されたとき,WAFが攻撃として検知し,遮断する。

  要点：偽陽性は正当な通信を攻撃と誤判定して遮断してしまうこと

  フォールスポジティブ(偽陽性)は、正当な通信を攻撃と誤判定してしまうことである。数式の一部として不等号を入力しただけの正常なリクエストが遮断されるアがこれに当たる。攻撃を見逃すイとエはフォールスネガティブ、不正を正しく遮断するウは正常な検知である。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）