平成29年度 春期 午前 問29
技術的セキュリティ対策とセキュリティ製品
ホワイトリストの説明
WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。
- アブラックリストは，脆弱性があるWebサイトのIPアドレスを登録するものであり，該当する通信を遮断する。
- イブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断又は無害化する。
- ウホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。
- エホワイトリストは，脆弱性がないWebサイトのFQDNを登録したものであり，登録がないWebサイトへの通信を遮断する。
答えと解説を見る
✓ これが正解イブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断又は無害化する。
解説
問題のある通信データのパターンを定義し、該当を止める側です。
WAFは、Webアプリケーションに向かう通信の中身まで検査して、攻撃にあたるものを止める仕組みです。その判定に使う二つのリストは、どちらも通信データのパターンを定義したものです。問題がある通信データのパターンを定義しておき、これに該当した通信を遮断したり、危険な部分を無害な形に直して通したりする使い方が、ブラックリストの働きです。ホワイトリストは逆に、正常だと分かっている通信データのパターンを定義しておき、それに合致するものだけを通します。どちらも、Webサイトのアドレスや名前を並べた一覧ではありません。判定の材料が通信データのパターンであるという点をつかめば、正しい説明を選び分けられます。
ほかの選択肢はなぜ違うのか
- アブラックリストは，脆弱性があるWebサイ…：脆弱性があるWebサイトのIPアドレスを登録する一覧だとする説明です。判定の材料はアドレスの登録簿ではなく通信データのパターンなので、この説明は当てはまりません。
- ウホワイトリストは，暗号化された受信データ…：暗号化された受信データの復号のしかたを定めたものだとする説明です。復号鍵をどう扱うかは通信を通すか止めるかの判定とは別の話であり、リストの説明になっていません。
- エホワイトリストは，脆弱性がないWebサイ…：脆弱性がないWebサイトのFQDNを登録した一覧だとする説明です。通信先の名前を並べたものではなく、通してよい通信データのパターンを定めたものです。
この問題の用語
- WAFWebアプリのやり取りを見て、攻撃らしい内容を通さない仕組み。アプリそのものをすぐ直せないときの当座の守りにもなります。
- 許可リスト通してよいものだけを並べた一覧で、ホワイトリストの言い換えです。並んでいないものはすべて止めるので、想定外のものも防げます。
- 拒否リスト通さないものを並べた一覧で、ブラックリストの言い換えです。問題があると分かっているものだけを止め、それ以外は通します。
- ブラックリスト拒否する対象を一覧にして、該当するものだけを止める方式です。許可する対象だけを並べるホワイトリストとは逆の考え方です。
- ホワイトリスト通してよいものだけを定義し、それ以外を遮断する仕組みのことです。許可リストとも呼ばれ、通信やメール、実行できるソフトの制限などに使われます。
- 脆弱性OSやソフトに残っている、攻撃の足掛かりになりうる弱点のこと。開発元が配る修正パッチを当ててふさぎます。
- IPアドレスネットワークにつながった機器を見分けるための番号。通信はこの番号を宛先として届けられ、名前からは変換して求めます。
- パターン繰り返し現れる規則性や、決まった形のことを指します。膨大なデータを処理して、そこに隠れた規則性を見つける使い方が広がりました。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問29
同じ用語が出る問題
- 令和8年度 科目A 問10：サブネットマスクに関する問題（IPアドレス）
- 令和8年度 科目A 問3：DMZに関する問題（パターン）
- 科目A・B サンプル問題 科目A 問13：BECに関する問題（ブラックリスト）
- 令和元年度 秋期 午前 問14：WAFに関する問題（WAF）
- 平成30年度 秋期 午前 問30：ホワイトリストに関する記述（ホワイトリスト）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）