平成29年度 秋期 情報セキュリティマネジメント試験 午前 問20
テクノロジ／セキュリティWAFの説明として，適切なものはどれか。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問20
- アDMZに設置されているWebサーバへの侵入を外部から実際に試みる。
- イTLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行うことによって，Webサーバの CPU 負荷を軽減するために導入する。
- ウシステム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。
- エ特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な通信を遮断する。
正解：エ
解説
WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど特徴的な攻撃パターンを検出して不正な通信を遮断する仕組みです。
選択肢ごとの解説
- ア誤り。Webサーバへの侵入を外部から実際に試みるのは、ペネトレーションテストの説明です。
- イ誤り。TLSの暗号化・復号処理を専用ハードウェアで行うのは、SSLアクセラレータの説明です。
- ウ誤り。質問形式で情報セキュリティ対策のレベルを診断するのは、自己診断（セキュリティチェックシート）の説明です。
- エ正しい。通信内容を検査し不正な通信を遮断するのがWAFの機能です。