WAFのフォールスポジティブ

セキュリティ機器の検知判定用語を整理しましょう。 ・フォールスポジティブ（False Positive：誤検知）：本当は安全な「正常な通信」を、誤って攻撃（異常）と判断して遮断してしまうこと。過剰防衛です。 ・フォールスネガティブ（False Negative：検知漏れ）：本当は危険な「攻撃」を、誤って正常な通信と判断して通過させてしまうこと。防衛失敗です。 各選択肢の解説： ア：ユーザーが入力した正常な数式の「<」をクロスサイトスクリプティングなどの攻撃と誤認して遮断しているため、「フォールスポジティブ」に該当します。 イ、エ：攻撃の通信であるにも関わらず、WAFがそれを見逃して通過（遮断しない）させてしまっているため、「フォールスネガティブ（検知漏れ）」に該当します。 ウ：不正なリクエストを正しく攻撃として検知し遮断しているため、正常に機能している状態（トゥルーポジティブ：True Positive）です。

WAF におけるフォールスポジティブに該当するものはどれか。

出典令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
ア
HTML の特殊文字“く”を検出したときに通信を遮断するように WAF を設定した場合、数式を入力する Web サイトに“く”を数式の一部として含んだ HTTP リクエストが送信されたとき、WAFが攻撃として検知し、遮断する。
イ
HTTP リクエストのうち、RFCなどに定義されておらず、Web アプリケーションソフトウェアの開発者が独自に追加したフィールドについてはWAF が検査しないという仕様を悪用して、攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき、WAF が遮断しない。
ウ
HTTP リクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合、許可しない文字列をパラメータ中に含んだ不正なHTTP リクエストが送信されたとき、WAFが攻撃として検知し、遮断する。
エ
悪意のある通信を正常な通信と見せかけ、HTTP リクエストを分割して送信されたとき、WAFが遮断しない。