解説

WAF（Web Application Firewall）における検知結果は4種類に分類される：TP（True Positive・真陽性）は攻撃を正しく攻撃と検知して遮断、FP（False Positive・偽陽性・フォルスポジティブ）は正常な通信を誤って攻撃と検知して遮断、TN（True Negative・真陰性）は正常な通信を正しく正常と判定して通過、FN（False Negative・偽陰性・フォルスネガティブ）は攻撃を正常と誤判断して通過させてしまう事象。フォルスポジティブの典型例は、数式入力フォームで「<」や「>」（不等号）を含む正当な数式をXSS攻撃のパターンとして誤検知・遮断するケース。WAF運用においてFPが多いと正規業務が妨害され、FNが多いと攻撃が通過するため、FPとFNのバランス調整（チューニング）がWAF管理者の重要業務。ホワイトリスト方式（許可したパターンのみ通過）はFNを減らせるがFPが増えやすく、ブラックリスト方式は逆の特性を持つ。

なぜ他の選択肢は違うのか

選択肢 イ

独自フィールドを悪用した攻撃がWAFを通過してしまう（WAFが遮断しない）のはフォルスネガティブ（偽陰性）。攻撃を攻撃として検知できない事象をフォルスネガティブという。フォルスポジティブはその逆で、正常な通信を攻撃と誤検知する事象。フォルスネガティブはセキュリティホールとなり、フォルスポジティブは業務障害を引き起こす。

選択肢 ウ

不正なHTTPリクエストを正しく攻撃と検知・遮断するのはトゥルーポジティブ（真陽性・正検知）。WAFが意図通りに正しく機能している状態であり、「誤検知」であるフォルスポジティブとは対極の状態。WAFの設計目標はトゥルーポジティブを最大化しつつ、フォルスポジティブとフォルスネガティブを最小化すること。

選択肢 エ

HTTPリクエストを複数に分割送信してWAFの検知パターン照合を回避し攻撃命令を通過させるHTTPスプリッティングやチャンク転送エンコード悪用はフォルスネガティブ（偽陰性）の一例。攻撃を正常な通信と誤判断して通過させてしまう事象であり、正常通信を攻撃と誤検知・遮断するフォルスポジティブ（偽陽性）とは正反対の問題に分類される。

解くときのポイント

検知の4パターン: TP（真陽性：攻撃を正しく検知）、FP（偽陽性：正常を攻撃と誤検知）、TN（真陰性：正常を正常と判定）、FN（偽陰性：攻撃を正常と見逃す）。WAFの運用ではFPとFNのバランス調整が重要。