平成28年度 春期 応用情報技術者試験 午前 問40
テクノロジ／セキュリティWAFの説明として，適切なものはどれか。
出典：平成28年度 春期 応用情報技術者試験 午前 問40
- アDMZに設置されているWebサーバへ外部から実際に侵入を試みる。
- イWebサーバのCPU負荷を軽減するために，TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行う。
- ウシステム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。
- エ特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
正解：エ
解説
WAF（Web Application Firewall）は，Webアプリケーションへの通信内容を検査し，SQLインジェクションなどの攻撃パターンを検知して不正な操作を遮断するセキュリティ機器・機能です。
選択肢ごとの解説
- ア誤り。外部から実際に侵入を試みる行為はペネトレーションテストの説明です。
- イ誤り。TLSの暗号化・復号処理を専用ハードウェアで行う仕組みはSSLアクセラレータの説明です。
- ウ誤り。質問形式で自組織の対策レベルを診断する方法は自己点検（チェックリスト診断）などの説明です。
- エ正しい。通信内容を検査して不正な操作を遮断するのがWAFです。