令和6年度 秋期 情報処理安全確保支援士試験 午前II 問12

【解説】

ア: HTMLの特殊文字"<“を検出したときに通信を遮断するようにWAFを設定した場合、数式を入力するWebサイトに"<“を数式の一部として含んだHTTPリクエストが送信されたとき、WAFが攻撃として検知し、遮断する。
正しい。これはフォールスポジティブ（誤検知）に該当します。本来は攻撃ではないリクエストが、WAFのルールにより攻撃として誤って検知・遮断されるケースです。

イ: HTTPリクエストのうち、RFCなどに定義されておらず、Webアプリケーションソフトウェアの開発者が独自に追加したフィールドについてはWAFが検査しないという仕様を悪用して、攻撃の命令を埋め込んだHTTPリクエストが送信されたとき、WAFが遮断しない。
誤り。これはフォールスネガティブ（見逃し）に該当します。攻撃が正常なリクエストと見なされ、WAFが検出できない状況です。

ウ: HTTPリクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するようにWAFを設定した場合、許可しない文字列をパラメータ中に含んだ不正なHTTPリクエストが送信されたとき、WAFが攻撃として検知し、遮断する。
誤り。これは正常な動作です。不正なリクエストが検知・遮断されるのはWAFの目的通りの挙動です。

エ: 悪意のある通信を正常な通信と見せかけ、HTTPリクエストを分割して送信されたとき、WAFが遮断しない。
誤り。これもフォールスネガティブ（見逃し）に該当します。分割された通信が正常と誤解され、攻撃が検出されない状況です。