修了試験 2015-01-25実施分 基本情報技術者試験 問40

解説

正解は2です。 SQLインジェクションは、入力欄に不正なSQL文の一部を入れてデータベースを不正に操作する攻撃です。 通常のファイアウォールは通信の宛先やポート番号で判断するため、通信の中身に含まれるこうした攻撃は防げません。 【選択肢別解説】 1：× SSL-VPN機能は、SSL（TLS）で通信を暗号化し、外部から安全に社内ネットワークへ接続するための機能です。 送信データの中身を検査して攻撃を遮断するものではありません。 2：○ WAF（Web Application Firewall）は、クライアントとWebサーバの間でHTTPの通信内容を検査します。 SQLインジェクションやクロスサイトスクリプティングなどの攻撃パターンを検出し、遮断します。 3：× クラスタ構成は、複数のサーバを連携させて一つのシステムとして動かし、可用性や性能を高める構成です。 4：× ロードバランシング機能は、複数のサーバに処理を振り分けて負荷を分散する機能です。 【ポイント】 ファイアウォールはIPアドレスやポート番号で、WAFはWebアプリケーションへの通信の中身で判断すると区別します。 WAFを置いても、プレースホルダの利用などアプリケーション側の対策は必要です。