図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信を暗号化したり，復号したりする機能はないものとする。
- ア a
- イ b
- ウ c
- エ d
図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信を暗号化したり，復号したりする機能はないものとする。
正解： ウ
WAF（Web Application Firewall）は、HTTPリクエストの中身（パラメータなど）を検査し、SQLインジェクションやクロスサイトスクリプティングといったWebアプリケーション層の攻撃を検知・遮断するための機器である。したがって、WAFが検査対象とするHTTP（またはHTTPS）通信の内容を平文の状態で監視できる場所に設置する必要がある。
本問では、通信はインターネット区間とファイアウォール〜SSLアクセラレータ間はHTTPSで暗号化されており、SSLアクセラレータで復号された後、Webサーバとの間（c の位置）でHTTP（平文）となっている。WAFには復号機能がないため、暗号化されたままのa・bの位置に置いても通信内容を検査できない。また d はWebサーバとデータベースサーバ間の通信であり、WAFが守るべきWebアプリケーションへのHTTPリクエストの経路ではない。
したがって、平文のHTTP通信を検査できる c の位置が正解となる。