問43応用情報技術者 平成29年度 春期

解説

正解は3。WAFはHTTPの要求の中身（パラメータなど）を見て、SQLインジェクションやクロスサイトスクリプティングといったWebアプリケーションへの攻撃を見分ける。そのため中身を読める平文のHTTPの区間に置く必要がある。図では、SSLアクセラレータがHTTPSを復号してWebサーバにHTTPで渡しているので、その間のcが適切。

• 1のaと2のbは、どちらもHTTPSで暗号化された区間。WAFには復号の機能がないので、中身を検査できない。
• 4のdは、WebサーバとデータベースサーバのあいだのDBアクセス用の通信で、HTTPではない。Webアプリケーションへの攻撃をHTTPの段階で止めるというWAFの役目に合わない。

根拠：WAF（Web Application Firewall）の検査対象はHTTPの通信内容であること。