フォールスポジティブに該当するもの｜情報セキュリティマネジメント 令和元年 秋期午前試験 問14
出典：令和元年秋期 午前 問14
分野：セキュリティ ／ 情報セキュリティ対策
WAFにおけるフォールスポジティブに該当するものはどれか。
- ア：HTMLの特殊文字"<"を検出したときに通信を遮断するようにWAFを設定した場合，"<"などの数式を含んだ正当なHTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。
- イ：HTTPリクエストのうち，RFCなどに仕様が明確に定義されておらず，Webアプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについてはWAFが検査しないという仕様を悪用して，攻撃の命令を埋め込んだHTTPリクエストが送信されたとき，WAFが遮断しない。
- ウ：HTTPリクエストのパラメータとして許可する文字列以外を検出したときに通信を遮断するようにWAFを設定した場合，許可しない文字列を含んだ不正なHTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。
- エ：悪意のある通信を正常な通信と見せかけ，HTTPリクエストを分割して送信されたとき，WAFが遮断しない。
TSUNAGARU-ADVICE
まず押さえたいこと
フォールスポジティブ（False Positive）は、本来は正常な通信なのに、誤って攻撃として検知してしまうことです。WAFでは、検知ルールが厳しすぎると、正当な入力に含まれる文字列まで攻撃と判断して遮断してしまう場合があります。
迷ったときの判断軸
正常なのに攻撃扱い = フォールスポジティブ、攻撃なのに正常扱い = フォールスネガティブと整理しましょう。不正な通信を正しく検知して遮断できた場合は誤検知ではありません。逆に、攻撃用のHTTPリクエストをWAFが見逃して通してしまうケースはフォールスネガティブです。
科目Bにつなげるために
科目Bでは、WAF導入後に正規利用者の通信まで遮断される事例や、攻撃通信が検知されない事例が登場します。検知精度を高めるほど誤検知が増えることもあるため、ログを確認しながらルールを調整するという運用面まで意識しておきましょう。
フォールスポジティブとは、本来は正常な通信であるにもかかわらず、WAFが攻撃だと誤って判定してしまうことです。日本語では「偽陽性」と呼ばれます。
本問では、「正当なHTTPリクエスト」を「WAFが攻撃として検知し、遮断する」という部分が判断のポイントです。正常な通信を誤って攻撃と判定しているため、アが適切です。
❌他選択肢が誤りの理由イ：HTTPリクエストのうち，RFCなどに仕様が明確に定義されておらず，Webアプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについてはWAFが検査しないという仕様を悪用して，攻撃の命令を埋め込んだHTTPリクエストが送信されたとき，WAFが遮断しない。
⇒攻撃通信であるにもかかわらずWAFが検知・遮断できていないため、フォールスネガティブに該当します。フォールスポジティブではありません。
ウ：HTTPリクエストのパラメータとして許可する文字列以外を検出したときに通信を遮断するようにWAFを設定した場合，許可しない文字列を含んだ不正なHTTPリクエストが送信されたとき，WAFが攻撃として検知し，遮断する。
⇒不正なHTTPリクエストを正しく攻撃として検知し、遮断できている正常な判定です。誤検知には該当しません。
エ：悪意のある通信を正常な通信と見せかけ，HTTPリクエストを分割して送信されたとき，WAFが遮断しない。
⇒攻撃通信をWAFが見逃しているため、フォールスネガティブに該当します。正常な通信を誤って遮断するフォールスポジティブとは逆のケースです。