令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
テクノロジ／セキュリティWAF におけるフォールスポジティブに該当するものはどれか。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
- アHTML の特殊文字"<"を検出したときに通信を遮断するように WAF を設定した場合，数式を入力する Web サイトに"<"を数式の一部として含んだ HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
- イHTTP リクエストのうち，RFC などに定義されておらず，Web アプリケーションソフトウェアの開発者が独自に追加したフィールドについては WAF が検査しないという仕様を悪用して，攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき，WAF が遮断しない。
- ウHTTP リクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合，許可しない文字列をパラメータ中に含んだ不正な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
- エ悪意のある通信を正常な通信と見せかけ，HTTP リクエストを分割して送信されたとき，WAF が遮断しない。
正解：ア
解説
フォールスポジティブ（過検知）とは，本来は正常な通信であるにもかかわらず，攻撃であると誤って検知・遮断してしまうことをいいます。数式を入力する Web サイトでは，"<"（小なり記号）は数式の一部として正当に使われ得る文字ですが，これを XSS 対策などの特殊文字として一律に検知・遮断するように WAF を設定していると，本来問題のない正常な入力までもが攻撃として誤検知され，遮断されてしまいます。これがフォールスポジティブの典型例です。
選択肢ごとの解説
- ア正しい。数式の一部として正当に使われた"<"を含む正常なリクエストを，WAF が攻撃として誤って検知し遮断することは，フォールスポジティブ（過検知）に該当します。
- イ誤り。本来検知すべき攻撃を見逃してしまう事象であり，これはフォールスネガティブ（検知漏れ）に該当します。
- ウ誤り。許可しない文字列を含む不正なリクエストを正しく攻撃として検知・遮断しており，これは WAF が意図どおりに機能した正しい検知（真陽性）です。
- エ誤り。悪意のある通信をリクエスト分割などによって回避され，WAF が遮断できなかった事象であり，これはフォールスネガティブ（検知漏れ）に該当します。