WAF（Webアプリケーションファイアウォール）とは？

WAF（Webアプリケーションファイアウォール）の意味

Webアプリケーションへの通信内容を監視し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションを狙った攻撃特有の通信パターンを検知・遮断する仕組み。通常のファイアウォールがポート・IPアドレス単位で制御するのに対し、WAFはアプリケーション層の通信内容まで踏み込んで検査する。

WAF（Webアプリケーションファイアウォール）の具体例

Webサイトの入力フォームに不正なSQL文が含まれたリクエストが送られてきた場合、WAFがそのパターンを検知して、アプリケーションに到達する前に通信を遮断する。

WAF（Webアプリケーションファイアウォール）は試験でどう引っ掛けられる？

見ている層が違う。パケットフィルタリング型ファイアウォールはIPアドレスとポート番号（ネットワーク層・トランスポート層）、WAFはHTTPリクエストの中身（アプリケーション層）を検査する。したがって80番・443番ポートを開けている限り、通常のファイアウォールではSQLインジェクションを止められない。またWAFは通信内容を見る仕組みなので、アプリ自体の脆弱性が消えるわけではなく、根本対策（入力値の検証、プレースホルダの利用）の代わりにはならない。

WAF（Webアプリケーションファイアウォール）と関連する用語

• セキュリティ対策技術の基礎（ファイアウォール・パッチ・バックアップ）
• Webアプリケーションの脆弱性（基礎の分類）

WAF（Webアプリケーションファイアウォール）が出た過去問

• WAFの説明として，適切なものはどれか。

  正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

  要点：WAFは通信内容を検査してWebアプリへの攻撃を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションへのやり取りの中身を検査し、攻撃に特徴的なパターンを含む通信を遮断する仕組みである。SQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層の攻撃への対策として使われる。

  出典：平成28年度 春期 応用情報技術者試験 午前 問40（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を監視し阻止する。

  要点：WAFはWebアプリ層への攻撃を検知し遮断する

  WAFはWebアプリケーションの前段に置き、HTTPの通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層を狙う攻撃を検知・遮断する仕組みである。ネットワーク層で通信を制御するファイアウォールでは防げない攻撃を対象とする。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問45（IPA）

• 図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信…

  正解：c

  要点：WAFはHTTPが平文になる区間に設置しないと検査できない

  WAFはHTTPリクエストの中身を解析して攻撃を検出するため、通信が平文である区間に置く必要がある。この構成ではSSLアクセラレータが復号を担っているので、その先のWebサーバとの間の平文HTTP区間に設置するのが適切である。

  出典：平成29年度 春期 応用情報技術者試験 午前 問43（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を検知し、阻止する。

  要点：WAFはHTTPを解析してWebアプリへの攻撃を検知・遮断する

  WAF（Web Application Firewall）はHTTPの通信内容を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションの脆弱性を狙う攻撃パターンを検知して遮断する。ネットワーク層で制御するファイアウォールでは防げない、アプリケーション層の攻撃に対応する点が特徴である。

  出典：令和1年度 春期 応用情報技術者試験 午前 問45（IPA）

• WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTP通信を検査しWebアプリ層の攻撃を防ぐ

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を検査してWebアプリケーション層の攻撃を遮断する仕組みです。REST APIもHTTP上で提供されるWebアプリケーションなので、不正なパラメータを使った攻撃の検知・防御に有効です。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問42（IPA）