ネットワーク・通信セキュリティ 重要度:★★★出題: AM2・PM1
WAF (Web Application Firewall)
わふ / Web Application Firewall
HTTP/HTTPS 通信の内容（ペイロード）をアプリケーション層で検査し、Web特有の攻撃を遮断する防御装置。
3行速習ポイント
- SQLインジェクション、XSS、OSコマンドインジェクション等のL7攻撃を検知・防御
- ブラックリスト方式（攻撃シグネチャ）とホワイトリスト方式（正常通信定義）の併用
- クラウド型（CDN連携・DNS切替型）、アプライアンス型、ホスト型（Webサーバ同居型）が存在
図解
図リバースプロキシ型WAFの検査・遮断構成
外部
クライアント (Webブラウザ)
HTTPS リクエスト送信
↕
防御層
WAF (検知・遮断層)
TLS終端・L7シグネチャ検査・不正破棄
↕
アプリケーション
Web / AP サーバ
正常なリクエストのみを受信・処理
↕
データ保護
DB サーバ
SQLインジェクションから完全保護
💡 ソースコード改修が完了するまでの緊急対策（仮想パッチ：Virtual Patching）として有効だが、根本対策であるアプリケーション側の修正（プレースホルダ等）と併用する
概要と本質
ネットワーク層ファイアウォール（FW）やIDS/IPSでは暗号化通信の内部や正当なHTTPリクエストに見せかけた攻撃文字列を検査できません。WAFはTLS復号後のHTTPリクエストヘッダやボディ、クエリパラメータを精査し、Webアプリの脆弱性を悪用する攻撃を阻止します。
重要ポイント・コア概念
- 防御対象：SQLi、XSS、CSRF、パストラバーサル、パラメータ改ざん
- 配置方式：リバースプロキシ配置、DNS切替型（クラウドWAF）、Webサーバプラグイン型
- 注意点：WAFは対症療法（仮想パッチ）であり、根本的なセキュアコーディング修正と併用が不可欠
午後記述・情報セキュリティ対策での攻略ポイント
午後記述では、修正プログラム適用までの「暫定対策としてのWAF導入」や「シグネチャ誤検知（False Positive）への運用対処」が出題されます。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
