平成29年度 春期 応用情報技術者試験 午前 問43
テクノロジ／セキュリティ図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信を暗号化したり，復号したりする機能はないものとする。 PC×3台 → インターネット → ［HTTPS：a］ → ファイアウォール → ［HTTPS：b］ → SSLアクセラレータ → ［HTTP：c］ → Webサーバ → ［データベースアクセス用サービス：d］ → データベースサーバ （注：本サイトでは原問題の図を文字表記に変換しています）
出典：平成29年度 春期 応用情報技術者試験 午前 問43
- アa
- イb
- ウc
- エd
正解：ウ
解説
WAFはWebアプリケーションへの通信内容を検査して脆弱性を突く攻撃を検知・防御する仕組みであり，暗号化・復号機能をもたないため，Webアプリケーションが受け取る通信を平文で検査できる位置に設置する必要があります。cの位置はSSLアクセラレータで復号された後のHTTP（平文）通信であり，Webサーバの直前でアプリケーションへの通信内容を検査できるため最も適切です。
選択肢ごとの解説
- ア誤り。aの位置はインターネットとファイアウォールの間のHTTPS（暗号化）通信であり，WAFは内容を検査できません。
- イ誤り。bの位置もファイアウォールとSSLアクセラレータの間のHTTPS（暗号化）通信であり，WAFは内容を検査できません。
- ウ正しい。cの位置はSSLアクセラレータで復号された後のHTTP（平文）通信であり，Webアプリケーションへの攻撃をWAFが検査できます。
- エ誤り。dの位置はWebサーバとデータベースサーバ間のデータベースアクセスであり，Webアプリケーションの脆弱性対策としてWAFを置く位置ではありません。