情報セキュリティマネジメント 2019年 秋期 問14

HTML の特殊文字 ”<”を検出したときに通信を遮断するようにWAFを設定し た場合、“<”などの数式を含んだ正当なHTTP リクエストが送信されたとき、 WAF が攻撃として知し、遮断する。

HTTP リクエストのうち、RFC などに仕様が明確に定義されておらず、Web ア プリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについ てはWAF が検査しないという仕様を悪用して、攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき、WAFが遮断しない。

HTTP リクエストのパラメタとして許可する文字列以外を検出したときに通信 を遮断するように WAF を設定した場合、許可しない文字列を含んだ不正なHTTP リクエストが送信されたとき、WAF が攻撃として検知し、遮断する。

悪意のある通信を正常な通と見せかけ、HTTP リクエストを分割して送信さ れたとき、WAF が遮断しない。