WAFとは？

WAFの意味

Webアプリケーションへの通信内容を検査し、攻撃とみなせるパターンを遮断する防御機構。HTTPのリクエスト本体まで見る点でパケットフィルタ型のファイアウォールと異なり、SQLインジェクションやXSSなどアプリケーション層の攻撃を対象とする。

WAFの具体例

脆弱性が判明したがアプリの改修に日数がかかる場合、該当パターンを遮断する規則をWAFへ入れて時間を稼ぐ。ブラックリスト型は既知の攻撃文字列を弾き、ホワイトリスト型は想定される入力形式以外を通さない。

WAFは試験でどう引っ掛けられる？

WAFは緩和策であって根本対策ではない。エンコードを変えた迂回や、業務上正当な入力を誤って遮断する誤検知が起こる。恒久対策はプレースホルダの利用や出力時のエスケープなど、アプリ側の修正である。

WAFと関連する用語

• プレースホルダ（バインド機構）
• SQLインジェクション
• DDoS攻撃