ファイアウォール・WAF・IDS/IPSの試験問題への適用
本番問題では、通信経路・ポート・HTTP内容・検知結果・遮断の有無を組み合わせて読む。どの装置で何を観測できるかを順に切り分ける。
この単元で学ぶこと
- 境界ルールの意味と役割を説明できる
- Web内容検査の意味と役割を説明できる
- 検知アラートの意味と役割を説明できる
- 障害・攻撃シナリオからFW/WAF/IDS/IPSの確認箇所を順序立てて判断できる
本文解説
まず通信がどこまで到達しているかを見る。ポート自体が閉じているならFW、TCP443は通るがWeb入力に問題があるならWAF、不審通信の通知ならIDS、経路上で自動遮断ならIPSを優先する。
境界ルール 外部と内部の通信可否をIP・ポート等で決めるルール。 不要な受信を最小化する。
Web内容検査 HTTPリクエストのパラメータや本文をアプリ攻撃の観点で調べる。 ポートが許可された後の攻撃を扱う。
検知アラート 不審な通信や挙動を見つけて管理者へ通知する。 調査や封じ込めの開始点になる。
自動遮断 検知した通信をリアルタイムに破棄・切断する。 可用性への誤遮断影響を考慮する。
誤検知調整 正常通信を攻撃と誤判定する量を減らすためルールを調整する。 監視→検証→遮断の段階導入が有効。
通信層→Web内容→検知→遮断の順に症状を当てはめる。
443で接続はできるがフォーム入力で不正SQLが送られるなら、FWの開閉よりWAFのルールやアプリ側対策を確認する。
図解
重要ポイント
- 境界ルール: 外部と内部の通信可否をIP・ポート等で決めるルール。
- Web内容検査: HTTPリクエストのパラメータや本文をアプリ攻撃の観点で調べる。
- 検知アラート: 不審な通信や挙動を見つけて管理者へ通知する。
- 自動遮断: 検知した通信をリアルタイムに破棄・切断する。
- 「どこまで通ったか」を見てから装置を選ぶと誤答を減らせる。
間違えやすい点
- TCP接続成功をアプリ安全性の証明にしない。
- IDS通知だけで攻撃を遮断済みとみなさない。
- IPS導入直後に全ルールを無検証で遮断モードにしない。
用語解説
- 境界ルール
- 外部と内部の通信可否をIP・ポート等で決めるルール。
- Web内容検査
- HTTPリクエストのパラメータや本文をアプリ攻撃の観点で調べる。
- 検知アラート
- 不審な通信や挙動を見つけて管理者へ通知する。
- 自動遮断
- 検知した通信をリアルタイムに破棄・切断する。
- 誤検知調整
- 正常通信を攻撃と誤判定する量を減らすためルールを調整する。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。