令和元年度 秋期 情報セキュリティマネジメント試験 午前 問14
テクノロジ／セキュリティWAF におけるフォールスポジティブに該当するものはどれか。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問14
- アHTML の特殊文字“＜”を検出したときに通信を遮断するように WAF を設定した場合，“＜”などの数式を含んだ正当な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
- イHTTP リクエストのうち，RFC などに仕様が明確に定義されておらず，Web アプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについては WAF が検査しないという仕様を悪用して，攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき，WAF が遮断しない。
- ウHTTP リクエストのパラメタとして許可する文字列以外を検出したときに通信を遮断するように WAF を設定した場合，許可しない文字列を含んだ不正な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
- エ悪意のある通信を正常な通信と見せかけ，HTTP リクエストを分割して送信されたとき，WAF が遮断しない。
正解：ア
解説
フォールスポジティブとは、WAFが正常な通信を誤って攻撃と判定し、遮断してしまう誤検知のことです。
選択肢ごとの解説
- ア正しい。正当なHTTPリクエストを攻撃として誤検知し遮断するのがフォールスポジティブです。
- イ誤り。検査対象外の独自仕様を悪用した攻撃をWAFが見逃すのは、フォールスネガティブ（検知漏れ）の例です。
- ウ誤り。許可しない文字列を含む不正なリクエストを正しく検知して遮断するのは、WAFの正常な動作（真陽性）です。
- エ誤り。リクエストを分割することで検知を回避され遮断されないのは、フォールスネガティブの例です。