修了試験 2017-06-11実施分 基本情報技術者試験 問44

解説

正解は2です。 SQLインジェクションは、Webアプリケーションへの入力に不正なSQL文を紛れ込ませる攻撃です。 クライアントとWebサーバの間で通信内容を検査し、このような攻撃を遮断する仕組みが問われています。 【選択肢別解説】 1：× SSL-VPN機能は、SSL/TLSで暗号化した通信路を使って社外から安全に社内ネットワークへ接続するための機能です。 送信データの内容を検査して攻撃を遮断するものではありません。 2：○ WAF（Web Application Firewall）は、HTTPの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃パターンを検知して遮断します。 3：× クラスタ構成は、複数のサーバを連携させて可用性や処理能力を高める構成です。 攻撃の検査は行いません。 4：× ロードバランシング機能は、複数のサーバにアクセスを振り分けて負荷を分散する機能です。 攻撃の遮断が目的ではありません。 【ポイント】 通常のファイアウォールはIPアドレスやポート番号で通信を制御します。 WAFは、Webアプリケーションの通信の中身まで見て攻撃を防ぐ点が異なります。