セキュリティ
令和5年度 基本情報技術者試験 科目A 公開問題 問10
図のような構成と通信サービスのシステムにおいて，Web アプリケーションの脆弱性対策のための WAF の設置場所として，最も適切な箇所はどこか。ここで，WAF には通信を暗号化したり，復号したりする機能はないものとする。
縦に接続された構成図（上から下）:
PC，PC，PC → インターネット
インターネット —(HTTPS, 箇所 a)— ファイアウォール
ファイアウォール —(HTTPS, 箇所 b)— SSLアクセラレータ
SSLアクセラレータ —(HTTP, 箇所 c)— Webサーバ
Webサーバ —(データベースアクセス用サービス, 箇所 d)— データベースサーバ
- ア a
- イ b
- ウ c
- エ d
出典：令和5年度 基本情報技術者試験 科目A 公開問題 問10
答えと解説を見る
正解：ウ
覚える知識
WAFの設置場所(SSL復号位置を考慮)
WAFは通信内容を検査する装置なので、暗号化された区間ではなく、復号後の平文(HTTP)区間に設置する。
この問題で必要なこと
WAFにはSSL復号機能がないため、HTTPS通信が暗号化されている箇所では中身を検査できない。SSLアクセラレータで復号された後の、WebサーバとのHTTP区間(c)に置く。
ひっかけ
ファイアウォールの前後(a,b)はHTTPSで暗号化されており検査できない。dはDB通信でWAFの対象ではない。
この知識の出題：本試験系 1 回・免除試験 3 回（公開問題での観測値）