問題 No.4328
ある企業では、Webサーバに対する不正なアクセスを防ぐため、OSI参照モデルのアプリケーション層において通信内容を詳細に検査し、不正なリクエストやSQLインジェクションなどの攻撃を検知・遮断するファイアウォールを導入することにした。このファイアウォールの方式として最も適切なものはどれか。
【正解の解説】
アプリケーションゲートウェイ型
空港の厳重な手荷物検査のようなものです。単にカバンの大きさや重さを見るだけでなく、中身を一つひとつ開けて危険物が隠されていないか隅々までチェックするイメージです。Web特有の攻撃であるSQLインジェクションなども、この方式であればリクエストの中身を文字単位で解読してブロックすることができます。
スポンサーリンク
【その他の選択肢の解説】
パケットフィルタリング型
これは手紙の「差出人と宛先の住所」だけを見て、中身の文面を見ずに配達するか決めるようなものです。高速に動作するというメリットはありますが、封筒の表側からは中身の文章に書かれた悪意ある言葉（SQLインジェクションなど）を読み取ることができないため、今回の要件には不向きです。
サーキットゲートウェイ型
これはビルの受付で「身分証を持っている特定の相手からの連絡か」を確認して、内線電話をつなぐかどうかを決めるようなものです。通信のセッション単位での制御は得意ですが、Webサイトの中身のデータ構造やアプリケーション特有の攻撃コマンドまでは理解できないため、今回の要件を満たせません。
ステートフルインスペクション型
これはドアの鍵を管理する際、一度開けたドアから出入りする一連の流れを覚えておき、勝手に入ってくる不審者を防ぐような仕組みです。通信の流れ（文脈）は記憶できますが、Webアプリケーションの深い意味内容までは検査しないため、SQLインジェクションなどの高度な攻撃を防ぐことはできません。