令和5年度 春期 情報処理安全確保支援士試験 午前 II 問題 問10
テクノロジセキュリティ技術ネットワーク防御・セキュリティ製品
WAFにおけるフォールスポジティブに該当するものはどれか。
解答・解説
正解: ア. HTMLの特殊文字 “<” を検出したときに通信を遮断するように WAFを設定した場合，“<” などの数式を含んだ正当な HTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。
フォールスポジティブ (False Positive) とは、セキュリティシステム（この場合は WAF）が、正常な通信や無害なアクセスを誤って攻撃（脅威）として検知し、遮断してしまう現象（誤検知・過剰検知）を指します。
逆に、実際の攻撃を検知できずに通過させてしまう現象は フォールスネガティブ (False Negative)（検知漏れ）と呼びます。
各選択肢の解説
- ア (正解): 数式を含んだ 正当な HTTPリクエスト を、設定されたルールによって誤って攻撃と判定し遮断してしまっているため、フォールスポジティブに該当します。
- イ: 独自の仕様を悪用した 攻撃の命令を含んだ HTTPリクエスト を検知できずに遮断していないため、フォールスネガティブ（検知漏れ）に該当します。
- ウ: 許可しない文字列を含んだ 不正な HTTPリクエスト を正しく攻撃として検知し遮断しているため、正常な防御動作 (True Positive) です。
- エ: リクエストを分割された 悪意のある通信 を検知できずに遮断していないため、フォールスネガティブ（検知漏れ）に該当します。