WAF・IDS・IPS・SIEMによる検知と遮断

結論：4つの機器は「何を見るか」と「止めるか」で見分ける

WAF・IDS・IPS・SIEMは、どれも攻撃を見つけるための仕組みです。違うのは 何を見るか（Webの中身か、ネットワーク全体か、ログか） と 見つけた後に止めるか、知らせるだけか の2点です。この2点を表で押さえれば、科目Aの選択肢はほとんど見分けられます。

前のレッスンで学んだファイアウォールは、通信の宛先と種類（IPアドレスやポート番号）だけを見ます。そのため、正しい宛先に届く悪意のあるデータは通してしまいます。その隙間を埋めるのが、このレッスンで扱う機器です。

WAF：Webアプリへの攻撃を中身で見つけて止める（最頻出）

WAF（Web Application Firewall）は、Webサーバに届くリクエストの中身を検査し、攻撃のパターンに当てはまれば遮断する仕組みです。代表的な防御対象は次の2つです。

• SQLインジェクション：入力欄にデータベースへの命令文を紛れ込ませ、データを盗んだり壊したりする攻撃
• XSS（クロスサイトスクリプティング）：Webページに悪意のあるスクリプトを埋め込み、閲覧者のブラウザで動かす攻撃

たとえるなら、ファイアウォールは宛名だけを見る郵便受付、WAFは封筒を開けて中身まで確認する手荷物検査です。宛名が正しくても中身が危険物なら止めるので、Webアプリの脆弱性（作りの弱点）を突く攻撃を、アプリを直す前でも防げます。

WAFがやらないことも頻出です。

• マルウェア（ウイルス）の駆除 → ウイルス対策ソフトの役割
• 開発中の脆弱性の検査 → 脆弱性診断・テストの役割
• OSのセキュリティパッチの適用 → 運用作業
• 負荷分散・冗長化 → ロードバランサやクラスタ構成の役割

選択肢に「Webサイトへのアクセス内容を監視し、攻撃パターンを検知したら遮断」「SQLインジェクションなどを遮断」とあれば、それがWAFです。

WAFを置く場所：暗号が解かれた後ろに置く

WAFは中身を読めなければ検査できません。HTTPS（暗号化されたHTTP）の区間では中身が読めないので、暗号を解く機器（SSLアクセラレータ）よりもWebサーバ側の、平文のHTTPが流れる区間に置きます。

flowchart LR
  A["インターネット"] -->|"HTTPS（暗号）"| B["ファイアウォール"]
  B -->|"HTTPS（暗号）"| C["SSLアクセラレータ（復号）"]
  C -->|"HTTP（平文）"| W["WAF ←ここ"]
  W --> D["Webサーバ"]
  D -->|"DBアクセス"| E["DBサーバ"]

SSLアクセラレータは、暗号化と復号の重い計算を専用ハードウェアで肩代わりし、Webサーバの負荷を減らす装置です。問題文に「WAFには暗号化・復号の機能はない」と書かれていたら、それは「復号された後ろに置け」という合図です。Webサーバとデータベースの間はSQLのやり取りなので、HTTPを検査するWAFの守備範囲ではありません。

ブラックリスト方式とホワイトリスト方式

WAFが「攻撃かどうか」を判定する方式は2つあります。何を登録するかと何を不正とみなすかをセットで覚えます。

ブラックリスト方式は未知の攻撃をすり抜けさせやすい一方、ホワイトリスト方式は正常な通信まで止めてしまうことがあります。試験では、登録内容と判定条件の組合せを入れ替えた選択肢が並びます。

IDSとIPS：知らせるだけか、止めるか

IDS（侵入検知システム）は、サーバやネットワークを監視し、侵入や侵害を見つけたら管理者に通知します。止めはしません。IPS（侵入防止システム）は、不正な通信を見つけたらその場で遮断します。防犯カメラ付きの警報器がIDS、不審者を感知すると自動で閉まるゲートがIPSです。

IDSは置く場所によって2種類に分かれます。

• NIDS（ネットワーク型）：ネットワークを流れるパケットを監視し、不正侵入の試みを検知して通知する
• HIDS（ホスト型）：個々のサーバに入れて、ログやファイルの改ざんなどを監視する

検知の考え方には、既知の攻撃パターン（シグネチャ）と照合するシグネチャ型と、普段と違う挙動を異常とみなすアノマリ型があります。

検知ミスの2種類：フォールスポジティブとフォールスネガティブ

検知の仕組みには2種類の間違いがあります。名前のポジティブ／ネガティブは、機器が出した判定（陽性＝怪しい／陰性＝問題なし）を指し、フォールス（false）は、その判定が間違っているという意味です。

健康診断にたとえると、健康なのに「要再検査」と出るのがフォールスポジティブ、病気なのに「異常なし」と出るのがフォールスネガティブです。

SIEM：あちこちのログを集めて、まとめて分析する

SIEM（Security Information and Event Management）は、サーバ・ネットワーク機器・セキュリティ機器のログを1か所に集め、組み合わせて分析（相関分析）し、管理者の分析と対応を支援する仕組みです。1台のログだけでは気づけない不審なアクセスも、複数のログを突き合わせると見えてきます。

たとえば「深夜にVPNログイン」「同じアカウントでファイルサーバから大量ダウンロード」「外部への大量送信」は、1件ずつなら見過ごされても、並べれば情報漏えいの兆候と分かります。SIEMは通信を直接遮断する装置ではありません。選択肢に「ログ」「一元的に蓄積」「相関分析」「単体では特定困難」とあればSIEMです。

試験での問われ方

出題パターンは、ほぼ次の3つです。

1. 「〇〇の説明はどれか」：正解以外の3つの選択肢に、別の機器の説明が入る。混ぜられやすいのは、WPA2（無線LANの暗号化規格）、UTM（複数のセキュリティ機能をまとめた機器）、サンドボックス（隔離した環境でファイルを動かして挙動を見る仕組み）、SDN（ネットワーク機器を集中制御する仕組み）、次世代ファイアウォール（通信先のアプリまで識別して制御する装置）、SSLアクセラレータ、ペネトレーションテスト（実際に攻撃して侵入できるか試す検査）、ファジング（異常なデータを送り込んで脆弱性を探す検査）。
2. 構成図でWAFの置き場所を選ぶ：暗号化されている区間とDB通信の区間を消去する。
3. 用語の定義の取り違え：ブラックリストとホワイトリスト、フォールスポジティブとフォールスネガティブの入れ替え。

選択肢を読むときは、動詞（遮断する／通知する／分析を支援する）と対象（Webアクセス／ネットワーク／ログ）の2か所に印を付けると、迷わずに絞れます。