Webアプリケーションファイアウォール（WAF）とは？だぶりゅーえーえふ
Webアプリケーションファイアウォール（WAF）とは、HTTPリクエストの中身まで読み取り、SQLインジェクションやクロスサイトスクリプティングといったWebアプリケーション特有の攻撃パターンを見つけて遮断する仕組み。送信元IPアドレスやポート番号だけで通す・通さないを決める通常のファイアウォールより、上の階層で中身を見て判断する。
最終更新：2026-10-09
この語が出る過去問を解く →背景
Webサイトを公開する以上、80番・443番のポートは誰にでも開けておかざるを得ず、ポート単位で絞るファイアウォールでは正規の利用者と攻撃者を区別できない。攻撃は許可された通信の「中身」に紛れて入ってくるため、中身を読む検査の層が別に必要になった。FEでは、アプリの改修が間に合わない期間の暫定策としてWAFを置く判断の理由まで問われる。
具体例
AWSのAWS WAFやさくらインターネットのWAFオプションのように、サービスとして提供されるものが普及している。入力欄へ送られたリクエスト本文に「' OR 1=1」のようなSQL文の断片やスクリプトタグが含まれていればその要求を落とすので、アプリのソースコードに手を入れずに導入できる。
試験での引っ掛け
ポート番号やIPアドレスで絞るのがファイアウォール、HTTPの中身を検査するのがWAF、という守備範囲の取り違えが定番。またWAFが攻撃を止めてもアプリ側の脆弱性そのものは残るので、恒久対策はコードの修正になる。正規の入力を誤って遮断するフォールスポジティブが起きうる点も押さえる。
関連用語
出た過去問
出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）
WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する
WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。
出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）
出典：令和5年度 公開問題 基本情報技術者試験 科目A 問10（IPA）
図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適切な箇所はどこか。ここで,WAFには通信…
正解：c
要点：WAFは復号後の平文HTTP区間に置かないと検査できない
WAFはHTTPの中身（リクエストのパラメタなど）を検査してWebアプリケーションへの攻撃を防ぐ装置である。本問のWAFは暗号化・復号の機能をもたないため、HTTPSで暗号化されたままの区間に置いても中身を検査できない。SSLアクセラレータで復号された後、Webサーバの手前にあたる平文HTTPの区間に設置するのが適切である。
出典：令和7年度 公開問題 基本情報技術者試験 科目A 問10（IPA）
WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの中身を検査し攻撃を遮断する仕組み
WAFはWebアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃とみなせるパターンを検知して遮断する仕組みである。ネットワーク層で通信を絞るファイアウォールとは異なり、HTTPの中身まで見る点が特徴になる。WPA2やSIEM、UTMとは目的が異なる。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。