平成28年春期試験問題 午前Ⅰ 問13

WAFの説明として,適切なものはどれか。

  • DMZに設置されているWebサーバへ外部から実際に侵入を試みる。
  • WebサーバのCPU負荷を軽減するために,TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェア上で行う。
  • システム管理者が質問に答える形式で,自組織の情報セキュリティ対策のレベルを診断する。
  • 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して,不正な操作を遮断する。
正解 問題へ
分野:テクノロジ系
中分類:セキュリティ
小分類:セキュリティ実装技術
解説
パケットフィルター型ファイアウォールは、通過するパケットのヘッダー部に含まれるIPアドレスとポート番号を見て通過の可否を判断しますが、XSSやSQLインジェクション,OSコマンドインジェクションなどの正当なHTTP通信に則って仕掛けられた攻撃(ポート80宛てのパケット)は防ぐことができません。

WAF(Web Application Firewall)では、パケットのヘッダー部だけでなくペイロード部(データ部分)をチェックすることで、Webアプリケーションに対するこれらの攻撃を検知し、遮断することが可能です。
  • ペネトレーションテスト(侵入テスト)の説明です。
  • SSL/TLSアクセラレータの説明です。
  • IPAで公開されている「情報セキュリティ対策自己診断テスト」の説明です。
  • 正しい。WAFの説明です。

Pagetop