平成27年度 秋期 応用情報技術者試験 午前 問41

解説

WAF（Web Application Firewall）はHTTPリクエストの内容を検査してWebアプリケーションの脆弱性を悪用する攻撃を検知・防御する装置であり，暗号化・復号機能をもたないため，通信が平文（HTTP）でやり取りされる区間に設置する必要があります。図ではWebサーバの手前（SSLアクセラレータで復号された後）のc（HTTP区間）に設置するのが最も適切です。

選択肢ごとの解説

• ア誤り。aはインターネットとファイアウォールの間でHTTPSのまま暗号化されており，WAFが通信内容を検査できません。
• イ誤り。bもSSLアクセラレータの手前でHTTPSのまま暗号化されており，WAFが内容を検査できません。
• ウ正しい。cはSSLアクセラレータで復号された後のHTTP（平文）区間であり，WAFがWebアプリケーションへのリクエスト内容を検査できます。
• エ誤り。dはWebサーバとデータベースサーバ間のデータベースアクセス用の通信であり，Webアプリケーションの脆弱性対策としてのWAFの設置箇所としては適切ではありません。