情報セキュリティ・暗号・認証 重要度:★★出題: AM・PM
WAF (Web Application Firewall)
わふ / Web Application Firewall (WAF)
HTTP/HTTPS通信のペイロード（アプリケーション層）を検査し、SQLインジェクションやXSS等のWeb脆弱性攻撃を遮断する防御装置。
3行速習ポイント
- 従来のパケットフィルタリング型ファイアウォール（L3/L4）では防げないWeb特有の攻撃（L7）を検知・防御
- シグネチャ型（既知の攻撃パターン照合）とアノマリ型（正常通信プロファイルからの逸脱検知）が存在
- クラウド型（DNS切替で即時導入可能）、アプライアンス型、ソフトウェア型の3形態
図解
図多層防御におけるファイアウォール（L3/L4）・IDS/IPS・WAF（L7）の役割分担階層・レイヤ構造
IP/ポート制御（FW）➔ OS/NW攻撃検知（IPS）➔ HTTPペイロード検査（WAF）➔ Web/DB保護L3/L4 ポート制御
1. パケットフィルタリング型 FW（L3 / L4 境界制御）
IPアドレスとTCP/UDPポート番号に基づき不要な通信を遮断
送信元/宛先IPアドレスとポート番号をチェックし、SSH（22番）やDB（3306番等）への直接アクセスを遮断する。ただし公開Web用のHTTPS（443番）通信は通過させるためWeb攻撃は防げない。
⇅ レイヤ間連携・制御境界
L7 アプリ層防御
2. WAF（Web Application Firewall：L7 ペイロード検査）
TLS復号後のHTTPヘッダ・Cookie・POSTボディの攻撃文字列を遮断
正規の443番ポート通信の内部にあるHTTPリクエストを解析し、SQLインジェクション（' OR 1=1 --）やXSS（<script>）、OSコマンドインジェクション等の悪意あるリクエストを検知・破棄する。
⇅ レイヤ間連携・制御境界
セキュア実装・保護資産
3. Web / アプリケーション / DB サーバ（根本対策層）
プレースホルダ（プリペアドステートメント）とエスケープ処理による安全実装
WAFで水際防御しつつ、アプリケーション側でもバインド機構（プレースホルダ）によるSQL組み立てやHTMLエスケープ、最小権限DB接続を実装し、多層防御を完成させる。
💡 脆弱性発覚からアプリケーション改修（根本対策）が完了するまでの間、WAFのシグネチャ適用によって攻撃を即座に遮断する暫定運用は「バーチャルパッチ（仮想パッチ）」と呼ばれる。
概要と本質
Webサーバーの前段に配置され、クライアントとWebアプリケーション間でやり取りされるHTTPリクエスト・レスポンスの内容を詳細に検査します。ソースコード改修に時間を要する場合でも、即座にゼロデイ攻撃やSQLi攻撃を緩和（バーチャルパッチ）できる強みがあります。
重要ポイント・コア概念
- 防御対象：SQLインジェクション、OSコマンドインジェクション、クロスサイトスクリプティング（XSS）、CSRF
- 設置方式：ネットワーク型（リバースプロキシ）、ホスト型（Webサーバープラグイン）、クラウド型（SaaS）
- 誤検知（False Positive）のチューニング運用の重要性
応用情報（午前択一・午後長文記述）での出題・得点戦略
午前問題でFW、IDS/IPS、WAFの防御レイヤ対比が頻出。午後問1（セキュリティ）で「Webサーバー脆弱性が判明した直後に恒久改修完了までの間、攻撃を遮断する暫定対策」としてWAF導入を書かせる問題があります。
