ホワイトリスト型 WAF の運用
A 社は，Web アプリケーションの前段にホワイトリスト方式（ポジティブセキュリティモデル）の WAF を導入した。WAF には画面ごとに受け付けるパラメタの名前，文字種及び長さを定義し，定義に合致しないリクエストや，定義されていないパラメタを含むリクエストは遮断する設定にした。その後，WAF の定義を変えずに，アプリケーションの改修で会員登録画面に入力項目を一つ追加した。このとき起こる事象として，最も適切なものはどれか。
- ア追加した項目を含む会員登録のリクエストは，入力値が正常であっても WAF で遮断される。
- イ追加した項目は WAF に定義がないので検査の対象外となり，その項目に入力された攻撃文字列はそのまま通過する。
- ウ会員登録画面の定義と実際の画面が一致しなくなるので，WAF は他の画面へのリクエストも含めて全てを遮断する。
- エ追加した項目への攻撃は，WAF の検出パターンに新しい攻撃手法が登録されるまで検知されない。
正解と解説を見る
正解 ア
この問題の基礎知識
- WAF は Web アプリケーションへの HTTP 通信を検査し，不正とみなした通信を遮断する。検出の方式にブラックリスト方式とホワイトリスト方式がある。
- ブラックリスト方式は既知の攻撃パターンに一致する通信を不正とみなし，新しい攻撃手法に対応するには随時パターンを更新する必要がある。
- ホワイトリスト方式は，アプリケーションの設計に基づいてパラメタごとに正しい値やパターンを定義し，それに合致しない通信を不正とみなす。未知の攻撃にも対応し得るが，仕様変更のたびに定義の更新が必要である。
- 偽陽性は正常な通信を不正と誤って検出すること，偽陰性は不正な通信を見逃すことである。
ア追加した項目を含む会員登録のリクエストは，入力値が正常であっても WAF で遮断される。正解
ホワイトリスト方式では，定義した正しい値やパターンに合致しない通信を不正とみなす。追加した項目は定義されていないので，正常な入力でも遮断される（偽陽性）。アプリケーションの仕様を変更したときは，ホワイトリストも併せて変更する必要がある。
イ追加した項目は WAF に定義がないので検査の対象外となり，その項目に入力された攻撃文字列はそのまま通過する。
定義されていないものを検査対象外として通すのではなく，定義に合致しないものを不正とみなすのがホワイトリスト方式である。この WAF は定義されていないパラメタを含むリクエストを遮断する設定なので，通過しない。
ウ会員登録画面の定義と実際の画面が一致しなくなるので，WAF は他の画面へのリクエストも含めて全てを遮断する。
ホワイトリストは画面やパラメタごとに定義されるので，影響を受けるのは定義と合わなくなった会員登録画面のリクエストである。定義を変えていない他の画面へのリクエストは，従来どおり検査されて通過する。
エ追加した項目への攻撃は，WAF の検出パターンに新しい攻撃手法が登録されるまで検知されない。
既知の攻撃のパターンを定義し，新しい攻撃手法が判明するたびに更新が必要になるのはブラックリスト方式の特徴である。ホワイトリスト方式は正しい値以外を不正とみなすので，未知の攻撃にも対応し得る。
検証用の出典出典照合済み
IPA Web Application Firewall 読本 改訂第 2 版照合の根拠（4 件）
- ア（正解）・イ（誤り）: ホワイトリストに合致しない通信は不正とみなされる。定義のない項目は検査対象外として通るのではなく，不正として扱われる
通信の内容が「正しい値、またはパターン」に合致しないときに、その HTTP 通信を不正な通信として検出します
IPA Web Application Firewall 読本 改訂第 2 版 · 3.2 WAF の機能（ホワイトリスト）（新しいタブで開きます） - ア（正解）: 仕様変更をホワイトリストに反映しないと偽陽性（正常な通信の遮断）が生じる
また、ウェブアプリケーションの仕様を変更した場合、「ホワイトリスト」も併せて変更する必要があります。ウェブアプリケーションの仕様変更を検出パターンに適切に反映できないと、偽陽性、偽陰性が生じる可能性があります。
IPA Web Application Firewall 読本 改訂第 2 版 · 3.3.1 「ホワイトリスト」における留意点（新しいタブで開きます） - ウ（誤り）: 定義はパラメタごとなので，影響を受けるのは定義と合わなくなった画面のリクエストに限られる
一般的に「ホワイトリスト」には、ウェブアプリケーションの設計に基づいてウェブアプリケーションのパラメータ毎に正しい値またはパターンが定義されます。
IPA Web Application Firewall 読本 改訂第 2 版 · 3.2 WAF の機能（ホワイトリスト）（新しいタブで開きます） - エ（誤り）: 新しい攻撃手法の判明ごとに更新が必要なのはブラックリスト方式の特徴
「ブラックリスト」で最新の攻撃を検出するには、新しい攻撃手法が判明次第、随時「ブラックリスト」を更新する必要があります。
IPA Web Application Firewall 読本 改訂第 2 版 · 3.2 WAF の機能（ブラックリスト）（新しいタブで開きます）
問題文の設定は「定義されていないパラメタを含むリクエストは遮断」なので，追加項目を含む会員登録リクエストは入力値が正常でも遮断される（偽陽性）。