平成24年度 春期 応用情報技術者試験 午前 問37
テクノロジ／セキュリティWAFの説明として，適切なものはどれか。
出典：平成24年度 春期 応用情報技術者試験 午前 問37
- アDMZに設置されているWebサーバへ外部から実際に侵入を試みる。
- イWebサーバのCPU負荷を軽減するために，SSLによる暗号化と復号の処理をWebサーバではなく専用のハードウェア上で行う。
- ウシステム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。
- エ特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
正解：エ
解説
WAF（Web Application Firewall）は，Webアプリケーションへの通信内容を検査し，SQLインジェクションやクロスサイトスクリプティングなどの攻撃パターンを検出して不正な操作を遮断するセキュリティ対策です。
選択肢ごとの解説
- ア誤り。実際に侵入を試みて脆弱性を検証するのはペネトレーションテストの説明です。
- イ誤り。SSLの暗号化・復号処理を専用ハードウェアで行うのはSSLアクセラレータの説明です。
- ウ誤り。質問形式で情報セキュリティ対策のレベルを診断するのは自己点検・セキュリティ診断ツールなどの説明です。
- エ正しい。通信内容を検査し不正な操作を遮断するのがWAFの説明です。