正解：エ
各選択肢の解説
ア誤検知を避けるため、遮断の規則は導入時に最小限だけ有効にし、以後も追加しない。
誤り。誤検知は減りますが、有効にしなかった規則が対象とする攻撃はすべて通ります。 誤検知を恐れて守る範囲を削るのは、WAFを入れた目的を手放すことです。 必要なのは、規則を減らすことではなく、自社の通信に合わせて調整することです。
イ初日からすべての規則を遮断で有効にし、顧客から問合せが来た分を直していく。
誤り。誤検知があると、顧客が実際に登録できなくなってから初めて気づくことになり、 懸念されている被害をそのまま起こします。問合せをせずに離れる顧客もいるので、 誤検知のすべてを把握することもできません。
ウ誤検知が出たらその時点でWAFを止め、Webアプリケーションの修正で対応する。
誤り。WAFを止めると、その間は攻撃の通信も素通りになります。 誤検知はWAFの規則の問題で、アプリケーションを直しても解消しません。 誤検知への対処は、WAFを止めることではなく規則の調整です。
エまず遮断せず検知の記録だけを行う設定で運用し、記録を確かめて規則を調整してから遮断に切り替える。
正解。遮断しない間は顧客の登録が止まらず、記録から誤検知になる通信を見つけて 規則を直せます。自社の通信で誤検知が出ないと確かめてから遮断に移るのが安全です。
理解を深めるために
本番の前に「見るだけ」の期間を置く
新しく雇った警備員に、初日から「怪しい客はすべて追い返せ」と任せると、 常連客まで追い返してしまうかもしれません。最初の何週間かは 「怪しいと思った客を記録するだけ」にして、記録を見ながら判断の基準をすり合わせ、 基準が固まってから追い返す権限を渡すほうが、店の売上も安全も守れます。
なぜ検知だけの期間を置くのか
WAFは、Webアプリケーションへの通信の中身を規則と照らし合わせて、 攻撃と判断したものを遮断する製品です。規則は一般的な攻撃の形を元に作られているため、 自社の正規の入力が、たまたま攻撃の形に似ていると誤検知が起きます （たとえば、記号を多く含む住所や氏名の入力など）。
多くのWAFには、遮断はせずに「検知した」という記録だけを残す動かし方があります。 導入の進め方は次の順になります。
- 検知の記録だけを行う設定で、実際の通信を一定期間流す
- 記録された検知を1件ずつ確かめ、正規の通信だったものを洗い出す
- 誤検知の原因になった規則を調整する（対象外の設定など）
- 誤検知が出ないことを確かめてから、遮断に切り替える
この間はWAFが攻撃を止めないので、期間は区切って計画しておきます。 遮断に切り替えた後も、記録の確認と規則の調整は続けます。
混同しやすいものとの違い
| 進め方 | 何が起きるか |
|---|---|
| 検知のみで運用し、調整してから遮断 | 顧客を止めずに誤検知を見つけ、規則を直せる |
| 規則を最小限にして追加しない | 誤検知は減るが、守れる攻撃も減る |
| 初日から全規則で遮断 | 誤検知が顧客の登録失敗として表に出る |
| 誤検知が出たらWAFを止める | その間は攻撃も素通りになる |
試験では、誤検知への備えを「守りを減らす」「守りを止める」で解決していないかを見ます。 守りを残したまま、確かめてから切り替える順番を選びます。