修了試験 2018-07-22実施分 基本情報技術者試験 問40

解説

正解は3です。 図の構成は、インターネット上のPCからファイアウォール、SSLアクセラレータ、Webサーバ、データベースサーバの順に接続されています。 aとbの区間はHTTPS（暗号化された通信）、cの区間はSSLアクセラレータで復号された後のHTTP、dはデータベースアクセス用の通信です。 WAF（Web Application Firewall）はHTTPの中身を検査してWebアプリケーションへの攻撃を防ぐ装置であり、暗号化や復号の機能はないとされています。 【選択肢別解説】 1：× aはインターネットとファイアウォールの間で、通信はHTTPSで暗号化されています。 WAFは暗号化された中身を検査できないので、効果がありません。 2：× bはファイアウォールとSSLアクセラレータの間で、ここもHTTPSで暗号化されています。 WAFが中身を検査できないため、適切ではありません。 3：○ cはSSLアクセラレータで復号された後の、平文のHTTP通信が流れる区間です。 WAFがリクエストの内容を検査でき、Webサーバに届く前に攻撃を遮断できます。 4：× dはWebサーバとデータベースサーバの間で、HTTPではなくデータベースアクセス用の通信です。 WAFはHTTPの通信を検査する装置なので、この位置では機能を発揮できません。 【ポイント】 WAFはSQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を狙う攻撃を防ぎます。 暗号化された通信を検査するには、復号した後の位置に置く必要があります。