平成30年度 秋期 情報セキュリティマネジメント試験 午前 問30
テクノロジ／セキュリティWAF（Web Application Firewall）におけるブラックリスト又はホワイトリストに関する記述のうち，適切なものはどれか。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問30
- アブラックリストは，脆弱性があるWebサイトのIPアドレスを登録したものであり，該当するIPアドレスからの通信を遮断する。
- イブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断する。
- ウホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。
- エホワイトリストは，脆弱性がないWebサイトのFQDNを登録したものであり，登録がないWebサイトへの通信を遮断する。
正解：イ
解説
WAFのブラックリスト方式は、SQLインジェクションなど問題がある通信データのパターンをあらかじめ定義しておき、そのパターンに該当する通信を遮断する仕組みです。
選択肢ごとの解説
- ア誤り。脆弱性があるWebサイトのIPアドレスを登録して遮断するのは、WAFのブラックリストの説明ではありません。
- イ正しい。ブラックリストは問題がある通信データパターンを定義したものであり、該当する通信を遮断します。
- ウ誤り。暗号化データの復号方法を定義したものという説明は、WAFのホワイトリストとは無関係です。
- エ誤り。ホワイトリストは、問題のない正常な通信パターンを定義し、それ以外の通信を遮断する仕組みであり、Webサイトの脆弱性の有無でFQDNを登録するものではありません。