修了試験 2019-12-08実施分 基本情報技術者試験 問40

解説

正解は3です。 WAF（Web Application Firewall）は、HTTPの通信内容を検査して、Webアプリケーションへの攻撃を防ぐ装置です。 問題文のとおり、このWAFは暗号の復号ができません。 そのため、通信内容が平文のHTTPで流れている区間に置く必要があります。 【選択肢別解説】 1：× aはインターネットとファイアウォールの間で、通信はHTTPSで暗号化されています。 WAFは中身を検査できません。 2：× bはファイアウォールとSSLアクセラレータの間で、まだHTTPSのまま暗号化されています。 WAFは中身を検査できません。 3：○ cはSSLアクセラレータで復号された後の区間で、HTTPの平文が流れています。 Webサーバの直前で通信内容を検査できます。 4：× dはWebサーバとデータベースサーバの間で、HTTPではなくデータベースアクセス用の通信です。 WebアプリケーションへのHTTPの攻撃を検査する位置ではありません。 【ポイント】 SSLアクセラレータは、暗号化と復号の処理をWebサーバに代わって行う装置です。 復号した後ろの区間にWAFを置くのが定番の構成です。