WAFは何を守る？VPN・DLP・DMZと見分けるコツ
ITパスポート試験 令和6年度 問90 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
セキュリティ対策として使用されるWAFの説明として適切なものはどれか。
- ア
ECなどのWebサイトにおいて，Webアプリケーションソフトウェアの脆弱性を突いた攻撃からの防御や，不審なアクセスのパターンを検知する仕組み
- イ
インターネットなどの公共のネットワークを用いて，専用線のようなセキュアな通信環境を実現する仕組み
- ウ
情報システムにおいて，機密データを特定して監視することによって，機密データの紛失や外部への漏えいを防止する仕組み
- エ
ファイアウォールを用いて，インターネットと企業の内部ネットワークとの間に緩衝領域を作る仕組み
会話形式の解説
講師今回はWAFの説明を選ぶ問題です。選択肢には、ほかのセキュリティの仕組みの説明も並んでいます。それぞれが何の説明なのかを見分けられるかがポイントです。
受験者セキュリティの略語は似たものが多くて、私はいつも混乱します。WAFも、名前は見たことがあるのに中身があいまいです。
講師略語は元の言葉に戻すと手がかりになります。WAFはWeb Application Firewallの略で、直訳すると「Webアプリケーションを守るファイアウォール」です。
受験者Webアプリケーションを守るのなら、Webアプリケーションの脆弱性を突いた攻撃を防ぐという説明が合いそうです。
講師そのとおりです。WAFはWebアプリケーションへの通信の中身を調べて、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を見つけて遮断します。不審なアクセスのパターンを検知するという説明も、WAFの機能そのものです。
受験者ただ、インターネットと内部ネットワークの間に緩衝領域を作るという選択肢にも「ファイアウォール」と書いてあって、こちらもWAFに見えてしまいます。
講師そこが一番の引っかけです。この説明はDMZ（非武装地帯）のものです。DMZには外部に公開するサーバを置き、内部ネットワークから切り離して、侵入されたときの影響を小さくします。ネットワークの区画の考え方なので、Webアプリケーションへの通信の中身を調べる仕組みではありません。
受験者「ファイアウォール」という言葉だけで選ぶと間違えるのですね。公共のネットワークで専用線のような安全な通信を作る説明は、VPNでしょうか。
講師はい、VPN（Virtual Private Network）です。暗号化や認証によって仮想的な専用線を実現する仕組みで、Webアプリケーションの脆弱性を狙う攻撃を防ぐためのものではありません。
受験者残りの、機密データを監視して漏えいを防ぐ説明も守りの仕組みに見えますが、WAFとは違うのですか。
講師これはDLP（Data Loss Prevention）の説明です。重要な情報の持出しや不正な送信を検知・制御する仕組みで、内側からの漏えいを防ぐことが目的です。外部からの攻撃を防ぐWAFとは目的が違います。
受験者整理すると、WAFはWebアプリケーションへの攻撃を防ぐもの、VPNは安全な通信路を作るもの、DLPは情報の漏えいを防ぐもの、DMZは外部公開用の緩衝領域、ということですね。
講師よく整理できています。補足すると、従来のファイアウォールはIPアドレスやポート番号を中心に制御しますが、WAFはアプリケーション層の通信内容まで調べる点が違います。また、WAFを導入しても脆弱性そのものはなくならないので、Webアプリケーションの修正や更新は別に必要です。守りを重ねる多層防御の一つとして考えるとよいでしょう。
まとめ
WAF（Web Application Firewall）は、Webアプリケーションの脆弱性を突いた攻撃を防ぎ、不審なアクセスのパターンを検知する仕組みです。この問題では、ほかの選択肢にVPN（公共のネットワーク上に安全な通信路を作る）、DLP（機密データの漏えいを防ぐ）、DMZ（外部公開用の緩衝領域）の説明が並んでいます。特にDMZの説明は「ファイアウォール」という言葉を含むため、WAFと取り違えやすい点に注意が必要です。従来のファイアウォールがIPアドレスやポート番号を中心に制御するのに対し、WAFはアプリケーション層の通信内容まで調べます。
解答・解説
正解はアです
この問題のテーマ
WAF（Webアプリケーションファイアウォール）の役割を、VPN・DLP・DMZといった似た名前のセキュリティの仕組みと区別できるかを問う問題です。
解き方の考え方
まず略語を元の言葉に戻すと、WAFはWeb Application Firewallで、「Webアプリケーションを守るファイアウォール」だとわかります。次に各選択肢を読み、どの仕組みを説明しているかを考えます。イはVPN、ウはDLP、エはDMZの説明だと見分けられれば、Webアプリケーションの脆弱性に触れているアが残ります。
選択肢ごとの解説
- ○ア ECなどのWebサイトにおいて，Webアプリケーションソフトウェアの脆弱性を突いた攻撃からの防御や，不審なアクセスのパターンを検知する仕組みWebアプリケーションの脆弱性を突いた攻撃を防ぎ、不審なアクセスのパターンを検知する説明は、WAFの機能そのものです。WAFはWebアプリケーションへの通信の中身を調べ、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を見つけて遮断します。ECサイトのようにWebアプリケーションを公開しているサイトで特に役立ちます。
- ×イ インターネットなどの公共のネットワークを用いて，専用線のようなセキュアな通信環境を実現する仕組みインターネットなどの公共のネットワーク上に、専用線のように安全な通信環境を作る説明は、VPN（Virtual Private Network）のものです。VPNは暗号化や認証によって仮想的な専用線を実現する仕組みです。Webアプリケーションの脆弱性を狙う攻撃を防ぐためのものではありません。
- ×ウ 情報システムにおいて，機密データを特定して監視することによって，機密データの紛失や外部への漏えいを防止する仕組み機密データを特定して監視し、紛失や外部への漏えいを防ぐ説明は、DLP（Data Loss Prevention）のものです。DLPは重要な情報の持出しや不正な送信を検知・制御するため、外部からの攻撃を防ぐWAFとは目的が違います。
- ×エ ファイアウォールを用いて，インターネットと企業の内部ネットワークとの間に緩衝領域を作る仕組みファイアウォールを使ってインターネットと企業の内部ネットワークの間に緩衝領域を作る説明は、DMZ（非武装地帯）のものです。DMZには外部に公開するサーバを置き、内部ネットワークから切り離すことで、侵入されたときの影響を小さくします。DMZはネットワークの区画の考え方であり、Webアプリケーションへの通信の中身を調べる仕組みではありません。
補足
エは「ファイアウォール」という言葉を含むため、WAFと取り違えやすい引っかけです。WAFを導入しても脆弱性そのものはなくならないため、Webアプリケーションの修正や更新は別に必要です。WAFは守りを重ねる多層防御の一つとして考えるとよいでしょう。
POINT
- WAFはWeb Application Firewallの略で、Webアプリケーションの脆弱性を狙う攻撃を検知して遮断します。
- 従来のファイアウォールはIPアドレスやポート番号を中心に制御し、WAFはアプリケーション層の通信内容まで調べます。
- 公共のネットワーク上に安全な通信路を作る仕組みはVPNです。
- 機密データの漏えいを防ぐ仕組みはDLPで、外部公開用の緩衝領域はDMZです。