令和6年度 秋期 情報処理安全確保支援士 午前II 問12

各選択肢の解説

ア

HTML の特殊文字“く”を検出したときに通信を遮断するように WAF を設定した場合、数式を入力する Web サイトに“く”を数式の一部として含んだ HTTP リクエストが送信されたとき、WAFが攻撃として検知し、遮断する。

正しいです。数式の一部として“<”（選択肢中の“く”）を含むリクエストは攻撃ではありません。それなのに「“<”を検出したら遮断する」という設定に合致したため、WAFが攻撃と判定して遮断しています。正常な通信を誤って攻撃と検知しているので、フォールスポジティブ（誤検知）です。

イ

HTTP リクエストのうち、RFCなどに定義されておらず、 Web アプリケーションソフトウェアの開発者が独自に追加したフィールドについてはWAF が検査しないという仕様を悪用して、攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき、WAF が遮断しない。

誤りです。開発者が独自に追加したフィールドをWAFが検査しないという仕様を悪用され、攻撃命令を含む不正なリクエストが遮断されていません。攻撃を見逃しているので、フォールスポジティブではなくフォールスネガティブ（検知漏れ）です。

ウ

HTTP リクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合,許可しない文字列をパラメータ中に含んだ不正な HTTP リクエストが送信されたとき、WAF が攻撃として検知し、遮断する。

誤りです。許可しない文字列を含む不正なHTTPリクエストを、設定どおり攻撃として検知して遮断しています。攻撃を正しく攻撃と判定した真陽性（トゥルーポジティブ）であり、正常な通信を誤って遮断するフォールスポジティブではありません。

エ

悪意のある通信を正常な通信と見せかけ, HTTP リクエストを分割して送信されたとき、WAF が遮断しない。

誤りです。HTTPリクエストを分割して送り、正常な通信に見せかける回避手法によって、悪意のある通信をWAFが遮断できていません。攻撃を見逃すフォールスネガティブ（検知漏れ）の例であり、正常な通信を誤検知するフォールスポジティブではありません。