Question

WAFにおけるフォールスポジティブに該当するものはどれか。

Accepted Answer

HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合，“<”などの数式を含んだ正当なHTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。。フォールスポジティブ（偽陽性）とは，正当な通信を誤って攻撃と判断し遮断してしまうことです。特殊文字“<”を含む正当なHTTPリクエストを攻撃と誤検知して遮断するケースがこれに該当します。攻撃を見逃すのはフォールスネガティブです。

Answer

HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合，“<”などの数式を含んだ正当なHTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。

Answer

HTTPリクエストのうち，RFCなどに仕様が明確に定義されておらず，Webアプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについてはWAFが検査しないという仕様を悪用して，攻撃の命令を埋め込んだHTTPリクエストが送信されたとき，WAFが遮断しない。

Answer

HTTPリクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するようにWAFを設定した場合，許可しない文字列をパラメータ中に含んだ不正なHTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。

Answer

悪意のある通信を正常な通信と見せかけ，HTTPリクエストを分割して送信されたとき，WAFが遮断しない。