正解：イ
各選択肢の解説
ア攻撃の特徴を登録した拒否リストが、最新の内容に更新されていなかった。
誤り。拒否リストが古いと、新しい攻撃を見逃すおそれが出ます。 これは「通してはいけないものが通る」問題で、正規の送信が止まる原因にはなりません。 しかもこのWAFは、正しい入力の形を定めた許可リストで検査しています。
イ改修で追加・変更した入力項目の形式が、許可リストに反映されていなかった。
正解。許可リスト方式は、定めた形に合わない入力をすべて止めます。 アプリケーションだけが変わりリストが古いままだと、新しい正規の入力が「形に合わない」と判断されます。
ウファイアウォールで、Webの通信に使うポートが閉じられていた。
誤り。ポートが閉じられると、そのWebアプリケーションへの通信はすべて届かなくなります。 ほかの画面が使えている以上、ポート番号で止まっているのではありません。 止まっているのは改修した画面の入力だけで、中身を見る仕組みが原因です。
エ改修した申請画面に、SQLインジェクションの脆弱性が作り込まれていた。
誤り。脆弱性があっても、正規の利用者の送信は攻撃の文字列を含まないので、 WAFが止める理由にはなりません。脆弱性はWAFが止めるべき攻撃を受けやすくするもので、 正規の入力が遮断される現象とは結びつきません。
理解を深めるために
名簿にない人は入れない受付
「名簿に載っている人だけ通す」受付は、見知らぬ不審者を確実に止められます。 その代わり、新しく配属された社員の名前を名簿に足し忘れると、本人が正規の社員でも止められます。 許可リスト方式の弱点は、守る対象が変わるたびにリストを書き直さなければならないことです。
なぜ改修した画面だけが止まるのか
WAFの検査方式は大きく2つあります。
- 拒否リスト（ブロックリスト）方式: 攻撃の特徴を登録し、それに合う通信を止める。 導入しやすいが、登録されていない新しい攻撃は通る
- 許可リスト（アローリスト／パスリスト）方式: 正しい入力の形 （どの項目に、どんな文字種・長さの値が入るか）を定め、それに合わない通信を止める。 未知の攻撃も止められるが、アプリケーションごとに形を定める手間がかかる
許可リスト方式では、アプリケーションの改修で入力項目が増えたり、 値の形式（桁数や使える文字）が変わったりすると、その変更をリストにも反映しない限り、 新しい正規の入力は「定めた形に合わない」として止められます。 改修した画面だけが止まり、ほかは使えるという症状はこれと一致します。
再発を防ぐには、アプリケーションの変更手順の中に 「WAFの許可リストの更新」を組み込んでおきます。
混同しやすいものとの違い
| 原因 | 起きる症状 |
|---|---|
| 許可リストの更新漏れ | 変更した画面の正規の入力だけが止まる |
| 拒否リストの更新漏れ | 新しい攻撃を見逃す（正規の入力は止まらない） |
| ファイアウォールでポートを閉じた | そのアプリケーションへの通信がすべて届かない |
| アプリケーションの脆弱性 | 攻撃を受けやすくなる（正規の入力は止まらない） |
試験では、症状が「通るべきものが止まる」のか「止めるべきものが通る」のかで、 許可リストと拒否リストのどちらに原因があるかを見分けます。