出典：平成29年度 春期 情報セキュリティマネジメント試験（SG） 午前 問29
難易度設定
予備知識
| 用語 | 意味 |
|---|---|
| サーバ | サービスや機能を提供する側のコンピュータ |
| Webサーバ | ホームページ関連の仕事をしているサーバ |
| ファイアーウォール | 「怪しい奴は通さんぜ！」な使命を持つネットワークの門番 |
| WAF | Webサーバを守る使命を与えられたファイアーウォール |
| ブラックリスト | OKな人とNGな人を区別するときに使う一覧のひとつで「ここに書かれている人はNGな人だよ」な一覧 |
| ホワイトリスト | OKな人とNGな人を区別するときに使う一覧のひとつで「ここに書かれている人はOKな人だよ」な一覧 |
| 脆弱性 | 放っておくとヤバいところ |
| 暗号化 | ルールを知っている人しか意味を読み取れないようにするために、特定のルールに従って、データを ぐちゃぐちゃにすること |
| 復号 | 暗号を暗号化前の状態に戻すこと |
| 復号鍵 | 暗号化されたのを元に戻すときに使うデータ |
| ドメイン名 | 人間様向けのネットワーク上の住所。もう少し正確に書くとIPアドレスに付けた人間様向けの名前 |
| FQDN | 省略しないで律儀に全部書いたドメイン名 |
問題
| 問題文 |
|---|
| WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。 |
| ピヨ意訳：WAF（Webサーバを守る使命を与えられたファイアーウォール）の話で出てくるブラックリスト・ホワイトリストの説明として正しいのは、どれ？ |
| 解答選択肢 | |
|---|---|
| ア | ブラックリストは，脆(ぜい)弱性のあるWebサイトのIPアドレスを登録するものであり，該当する通信を遮断する。 |
| ピヨ意訳：ブラックリストには放っておくとヤバいところがあるホームページを登録しておくよ。登録されているところへの通信は遮断するよ。 | |
| イ | ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断又は無害化する。 |
| ピヨ意訳：ブラックリストには「こんな通信は、うさんくさいね！」な内容を登録しておくよ。その内容に一致する通信は遮断したりするよ | |
| ウ | ホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。 |
| ピヨ意訳：ホワイトリストには、暗号化された受信データを元に戻す方法が書いてあるよ。元に戻す方法が登録されていないデータは遮断するよ | |
| エ | ホワイトリストは，脆弱性がないWebサイトのFQDNを登録したものであり，登録がないWebサイトへの通信を遮断する。 |
| ピヨ意訳：ホワイトリストには、放っておくとヤバいところがないホームページを登録しておくよ。登録されていないところへの通信は遮断するよ | |
正解
| 正解 | |
|---|---|
| イ | ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断又は無害化する。 |
| ピヨ意訳：ブラックリストには「こんな通信は、うさんくさいね！」な内容を登録しておくよ。その内容に一致する通信は遮断したりするよ | |
ピヨピヨ解説
なかなか引っかけくさい問題ですね。
WAFの仕事は
ホームページのファイルが置いてあるコンピュータ（Webサーバ）を守る
です。
Webサーバは、基本的に
受け身
です。
「ホームページのファイルをちょうだ～い」と言ってきたコンピュータに対して「ほれ、欲しがってたファイルだよ」と渡してあげるのが使命です。
ですから、Webサーバさんに「こんにちは～」とやってくる相手に対して「こいつは怪しいやつじゃないかな？」と目を光らせるのがWAFさんの仕事です。
それを踏まえて、それぞれの選択肢を見てみましょう。
「ア：ブラックリストは，脆(ぜい)弱性のあるWebサイトのIPアドレスを登録するものであり，該当する通信を遮断する。」は違います。
WAFさんからすれば、他のホームページ（Webサイト）に脆弱性があろうとなかろうと知ったこっちゃありません。
守る対象のWebサーバさんは受け身です。
勝手に他のホームページに遊びに行ったりはしません。
「イ：ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断又は無害化する。」は正しいです。
これは「こんなやり取りをしようとするやつは怪しいぞ！」を登録しておいて「怪しいやつは通さんぞ！」をすると言っています。
WAFさんの使命はWebサーバさんを守ることです。
Webサーバさんに対して変なことをしようとするやつを通さないのはWAFさんのお仕事と合致します。
「ウ：ホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。」は違います。
WAFさんの使命はWebサーバさんを守ることです。
暗号化とか復号とか、知ったこっちゃありません。
余計な仕事を押し付けようとするんじゃねーよ、ばーか、ばーか。
「エ：ホワイトリストは，脆弱性がないWebサイトのFQDNを登録したものであり，登録がないWebサイトへの通信を遮断する。」も違います。
WAFさんからすれば、他のホームページ（Webサイト）に脆弱性があろうとなかろうと知ったこっちゃありません。
守る対象のWebサーバさんは受け身です。
勝手に他のホームページに遊びに行ったりはしません。
ということで「イ：ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断又は無害化する。」が正解です。
