WAFとは？

WAFの意味

Webアプリケーションの通信内容（HTTP・HTTPSのリクエスト）を検査し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を狙った攻撃を検知・遮断するセキュリティ製品。ネットワーク層の通信を制御する通常のファイアウォールでは防げない、アプリケーションの入力内容に潜む不正な命令文などを検査できる点が特徴である。Webサーバの手前に設置し、既知の攻撃パターンと照合したり、通常と異なる通信を検知したりして防御する。

WAFの具体例

ECサイトの検索フォームに、データベースを不正操作しようとするSQL文が入力された際、WAFがそのリクエストを検知してブロックし、サーバに到達させない。

WAFは試験でどう引っ掛けられる？

WAFはネットワーク層ではなくアプリケーション層（Webアプリケーションへの入力内容）の攻撃を防ぐ製品であり、通常のファイアウォールで防げない攻撃を補完する点が問われやすい。

WAFと関連する用語

• ファイアウォール
• SQLインジェクション
• クロスサイトスクリプティング（XSS）
• IDS・IPS

WAFが出た過去問

• セキュリティ対策として使用されるWAFの説明として、適切なものはどれか。

  正解：ECなどのWebサイトにおいて、Webアプリケーションソフトウェアの脆弱性を突いた攻撃からの防御や、不審なアクセスのパターンを検知する仕組み

  要点：WAFはWebアプリの脆弱性を突く攻撃を検知・遮断する

  WAFはWebアプリケーションに特化した防御の仕組みで、通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど脆弱性を突く攻撃を遮断し、不審なアクセスパターンを検知します。通信の宛先やポートだけを見る一般的なファイアウォールより上位の層を見る点が特徴です。

  出典：令和6年度 秋期 ITパスポート試験 問90（IPA）