WAF（Webアプリケーションファイアウォール）とは？わふ
WAF（Webアプリケーションファイアウォール）とは、HTTP／HTTPSのリクエストの中身を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションを狙う攻撃のパターンを検知・遮断する仕組み。既知の攻撃パターンを拒否する拒否リスト型と、正常な入力形式だけを通す許可リスト型があり、遮断せず検知だけ行う運用も選べる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
通常のファイアウォールはIPアドレスとポート番号で通す・通さないを決めるが、Webサービスは80番・443番を不特定多数に開けなければ成り立たない。開けたポートを通る中身に攻撃が紛れる以上、通信内容そのものを見る層が別に要る。加えて、アプリ側の改修に時間がかかる脆弱性を一時的に覆う手段としての需要もある。
具体例
F5 Advanced WAFやImperva、オープンソースのModSecurity、クラウド事業者が提供するAWS WAFなどが使われる。導入直後は遮断せず検知のみで運用してログを見ながら誤検知の元になるルールを調整し、正常な業務通信が止まらないことを確かめてから遮断モードへ切り替えるのが定石になる。
試験での引っ掛け
見ている層が違う。パケットフィルタリング型ファイアウォールはIPアドレスとポート番号（ネットワーク層・トランスポート層）、WAFはHTTPリクエストの中身（アプリケーション層）を検査する。80番・443番を開けている限り、通常のファイアウォールではSQLインジェクションを止められない。またWAFは通信を覆うだけで脆弱性自体は残るため、入力値の検証やプレースホルダによる根本対策の代わりにはならない。
関連用語
出た過去問
出典：平成28年度 春期 応用情報技術者試験 午前 問40（IPA）
WAFの説明として，適切なものはどれか。
正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
要点：WAFは通信内容を検査してWebアプリへの攻撃を遮断する
WAF（Web Application Firewall）は、Webアプリケーションへのやり取りの中身を検査し、攻撃に特徴的なパターンを含む通信を遮断する仕組みである。SQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層の攻撃への対策として使われる。
出典：平成29年度 秋期 応用情報技術者試験 午前 問45（IPA）
WAFの説明はどれか。
正解：Webアプリケーションへの攻撃を監視し阻止する。
要点：WAFはWebアプリ層への攻撃を検知し遮断する
WAFはWebアプリケーションの前段に置き、HTTPの通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層を狙う攻撃を検知・遮断する仕組みである。ネットワーク層で通信を制御するファイアウォールでは防げない攻撃を対象とする。
出典：平成29年度 春期 応用情報技術者試験 午前 問43（IPA）
図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信…
正解：c
要点：WAFはHTTPが平文になる区間に設置しないと検査できない
WAFはHTTPリクエストの中身を解析して攻撃を検出するため、通信が平文である区間に置く必要がある。この構成ではSSLアクセラレータが復号を担っているので、その先のWebサーバとの間の平文HTTP区間に設置するのが適切である。
出典：平成31年度 春期 応用情報技術者試験 午前 問45（IPA）
WAFの説明はどれか。
正解：Webアプリケーションへの攻撃を検知し、阻止する。
要点：WAFはHTTPを解析してWebアプリへの攻撃を検知・遮断する
WAF（Web Application Firewall）はHTTPの通信内容を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションの脆弱性を狙う攻撃パターンを検知して遮断する。ネットワーク層で制御するファイアウォールでは防げない、アプリケーション層の攻撃に対応する点が特徴である。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。