修了試験 2023-01-22実施分 基本情報技術者試験 問43

解説

正解は3です。 WAF（Web Application Firewall）は、HTTPの通信内容を検査して、SQLインジェクションなどWebアプリケーションへの攻撃を防ぐ仕組みです。 本問のWAFは暗号化や復号ができないので、暗号化されていない区間に置かなければ内容を検査できません。 【図の読み取り】 インターネットとファイアウォールの間のaはHTTPSです。 ファイアウォールとSSLアクセラレータの間のbもHTTPSです。 SSLアクセラレータとWebサーバの間のcはHTTPで、ここで初めて通信が復号されています。 Webサーバとデータベースサーバの間のdは、データベースアクセス用のサービスの通信です。 【選択肢別解説】 1：× aはHTTPSで暗号化されているため、復号機能のないWAFでは通信内容を検査できません。 2：× bもSSLアクセラレータで復号される前のHTTPS通信なので、WAFでは内容を検査できません。 3：○ cはSSLアクセラレータで復号された後のHTTP通信です。 Webサーバへのリクエストの内容をWAFで検査できるので、最も適切な設置場所です。 4：× dはWebサーバとデータベースサーバの間の通信で、Webアプリケーションへの要求そのものではありません。 WAFが検査するHTTP通信の区間ではありません。 【ポイント】 WAFは、HTTPSを復号した後で、Webサーバに届く前の位置に置くのが基本です。 暗号化された通信は、復号しない限り中身を検査できないことを押さえましょう。