WAF（Web Application Firewall）

WAF（Web Application Firewall）は、Webアプリケーションへの通信（HTTP・HTTPS）の中身を検査し、SQLインジェクションやXSSなどの攻撃を防ぐ仕組みです。

■ 試験で押さえるポイント

• ファイアウォールがIPアドレスやポートを見るのに対し、WAFはWebの通信の中身を見ます。

• 攻撃のパターンに一致する要求を遮断します。

• アプリケーションの修正が間に合わないときの、一時的な防御（仮想パッチ）にも使います。

■ 過去問での着眼点

WAFは防御を補うもので、脆弱なアプリケーションの修正の代わりにはなりません。

例: WAFで、SQLの命令を含む不審な入力をWebサーバに届く前に止めます。

■ TLS終端・検査対象と例外運用

• HTTPのパス、クエリ、ヘッダ、本文を検査するには、TLSを終端するなど内容が見える位置に置く。オリジンサーバへ直接接続できる経路があると、その経路の要求はWAFの検査を受けない。

• アプリとWAFでURLデコードや入力の解釈が異なると、検査を回避する入力が通ることがある。本文サイズの上限、検査対象の形式、検査しないフィールドも確認する。

• ログのルールID、要求ID、検査対象、スコア、処置をアプリの記録とつなぐ。誤検知は対象URL・項目・ルールを絞って調整し、変更前後に正規操作と攻撃入力を再検証する。

• WAFの一致や遮断だけでSQL実行・侵害・流出は断定しない。入力と処理の根本修正、認可検証、直接接続の制限も必要である。