平成27年度 秋期 午前 問41

✓ これが正解ウc

解説

中身が平文で流れる HTTP の区間に置きます。

この設問は、WAF がどの層のものを見る仕掛けなのかが分かっていれば一本道で決まります。WAF は、Web アプリケーションあてに届く HTTP のメッセージそのもの、つまり要求先の指定や引数や本文を読み、攻撃の型に当てはまるものを弾きます。読んで判断する以上、中身が暗号のままでは一文字も見えません。ここが分かれ目です。図では、利用者から SSL アクセラレータまでが HTTPS で、そこから先が HTTP になっています。暗号を解いているのは SSL アクセラレータですから、平文の HTTP が流れているのは、その先から Web サーバまでの区間 c だけです。したがって WAF の置き場所は c になります。設問がわざわざ、WAF には暗号化も復号もする機能がないと断っているのは、この一点で置き場所を絞らせるためです。復号できる装置であれば手前に置くこともできますが、その道は設問の条件で閉じられています。WAF の定位置は、暗号を解いた後、アプリケーションの手前と覚えておくと、構成が変わっても迷いません。守る相手は場所ではなくアプリケーション層だ、という見方が土台になります。

ほかの選択肢はなぜ違うのか

• アa：利用者のパソコンからファイアウォールまでの区間で、通信は暗号化されたまま流れています。ここに置いても要求の中身を取り出せず、判定の材料が一つも手に入りません。
• イb：ファイアウォールから SSL アクセラレータまでの間も、まだ暗号が解かれていません。位置としてはサーバ側に近づきますが、自力で解けない装置にとっては手前と同じ条件です。
• エd：Web サーバとデータベースサーバをつなぐ区間で、流れているのはデータベースへの問合せであり、Web アプリケーションあての要求ではありません。この区間を見張る役目は別の仕掛けが担います。