解説

WAF（Web Application Firewall）は、Webアプリケーションへの攻撃を検知・防御するためのセキュリティ装置です。WAFの主な役割は、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃パターンを検知し、不正なリクエストをブロックすることです。 この問題では、HTTPSで暗号化された通信経路上でのWAFの適切な設置場所を問うています。WAFは通信内容を平文で読み取る必要があるため、暗号化された通信を検査することはできません。図の構成では、SSLアクセラレータで復号された後のHTTP通信となる位置c（Webサーバの直前）が最適な設置場所となります。 この配置により、SSLアクセラレータで復号された平文のHTTPトラフィックに対して、WAFが適切にWebアプリケーション層での攻撃を検知・防御できます。また、内部のWebサーバに到達する直前で検査できるため、セキュリティ的にも理想的な位置となります。

なぜ他の選択肢は違うのか

選択肢 ア

位置aではHTTPS（暗号化された通信）の状態であり、WAFは内容を検査できません。また、ファイアウォールの外側に設置することは、WAF自体がインターネットからの直接の攻撃対象となってしまうリスクがあります。セキュリティ機器は可能な限り内側に配置するべきです。

選択肢 イ

位置bもまだHTTPS通信の状態であり、WAFは暗号化された通信内容を検査できません。SSLアクセラレータによる復号前の位置であるため、Webアプリケーションへの攻撃を検知することができず、WAFとしての機能を果たせません。

選択肢 エ

位置dはデータベースアクセス用のサービスの位置であり、すでにWebアプリケーション層での処理が終わった後の位置です。この位置ではWebアプリケーションへの攻撃を検知・防御するのが遅すぎ、また、データベースアクセスプロトコルを理解できないWAFには不適切です。

解くときのポイント

WAFの設置場所を考える際は、以下の3つのポイントを確認しましょう： 1. 通信が平文（復号済み）であること 2. Webアプリケーションへの入り口に近いこと 3. 保護対象のすぐ前に位置すること また、SSLアクセラレータとWAFの関係性も重要です。SSLアクセラレータは暗号化通信を終端（復号）する装置で、その後のWAFで平文検査が可能となります。セキュリティ機器の配置順序を理解することで、正しい設置位置を判断できます。