Question

WAF におけるフォールスポジティブに該当するものはどれか。

Accepted Answer

HTML の特殊文字“<”を検出したときに通信を遮断するように WAF を設定した場合，数式を入力する Web サイトに“<”を数式の一部として含んだ HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。。フォールスポジティブ（誤検知）とは，正常な通信を攻撃と誤って判定することである。数式の一部として正当に含まれた“<”を攻撃と検知して遮断するアは，正常通信の誤遮断であり該当する。

Answer

HTML の特殊文字“<”を検出したときに通信を遮断するように WAF を設定した場合，数式を入力する Web サイトに“<”を数式の一部として含んだ HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。

Answer

HTTP リクエストのうち，RFC などに定義されておらず，Web アプリケーションソフトウェアの開発者が独自に追加したフィールドについては WAF が検査しないという仕様を悪用して，攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき，WAF が遮断しない。

Answer

HTTP リクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合，許可しない文字列をパラメータ中に含んだ不正な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。

Answer

悪意のある通信を正常な通信と見せかけ，HTTP リクエストを分割して送信されたとき，WAF が遮断しない。