令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
テクノロジ／セキュリティWAF におけるフォールスポジティブに該当するものはどれか。
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
- アHTML の特殊文字“＜”を検出したときに通信を遮断するように WAF を設定した場合，“＜”などの数式を含んだ正当な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
- イHTTP リクエストのうち，RFC などに仕様が明確に定義されておらず，Web アプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについては WAF が検査しないという仕様を悪用して，攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき，WAF が遮断しない。
- ウHTTP リクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合，許可しない文字列をパラメータ中に含んだ不正な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
- エ悪意のある通信を正常な通信と見せかけ，HTTP リクエストを分割して送信されたとき，WAF が遮断しない。
正解：ア
解説
フォールスポジティブ（過検知）とは，本来正常な通信であるにもかかわらず，WAF などのセキュリティ製品が誤って攻撃と判定し，遮断してしまうことです。逆に，攻撃であるにもかかわらず見逃してしまうことはフォールスネガティブ（検知漏れ）といいます。
選択肢ごとの解説
- ア正しい。“＜”を含む正当な数式のリクエストを誤って攻撃と判定し遮断しているので，これはフォールスポジティブ（過検知）に該当します。
- イ誤り。攻撃を検知できずに遮断しない事例であり，検知漏れであるフォールスネガティブに該当します。
- ウ誤り。不正なリクエストを正しく攻撃として検知し遮断できているので，これは正しい検知（真陽性）であり，フォールスポジティブではありません。
- エ誤り。HTTP リクエスト分割による回避を見逃している事例であり，検知漏れであるフォールスネガティブに該当します。