読み方: わふ
1行定義
WebアプリへのHTTP通信を検査・フィルタリングし、SQLインジェクション・XSS等のアプリ層攻撃を遮断する専用FW
詳細解説
WAF（Web Application Firewall）とは、WebサーバへのHTTP/HTTPSトラフィックを詳細に検査し、SQLインジェクション・XSS（クロスサイトスクリプティング）・CSRF・バッファオーバーフロー・DDoSなどWebアプリケーション層（L7）を狙った攻撃を検知・遮断する専用のセキュリティ機器またはサービスです。通常のネットワークファイアウォールはIPアドレスやポート番号（L3・L4層）でフィルタリングしますが、HTTPSで暗号化されたWebアプリへの攻撃（ポート443は正常に開いているが内容は攻撃）は通過してしまいます。WAFはHTTP通信の内容（URL・パラメータ・ヘッダ・本文）まで解析して攻撃を識別します。動作モードとして「ブラックリスト型（既知攻撃シグネチャを拒否）」と「ホワイトリスト型（正規パターンのみ許可）」があります。IT試験では「通常FWとWAFの違い（L3/L4 vs L7）」「防御できる攻撃種別（SQLi・XSS等）」「クラウドWAFの概念」を確認しておくと安心です。
ITパスポートでの出題ポイント
- 通常FW（IP・ポート）とWAF（HTTPコンテンツ検査）の層の違い
- SQLインジェクション・XSS・CSRFなどアプリ層攻撃の遮断
- ブラックリスト型とホワイトリスト型の動作モード
- リバースプロキシ構成でWebサーバ前段に設置する基本構成
関連用語
- ファイアウォール セキュリティ
- SQLインジェクション セキュリティ
- XSS（クロスサイトスクリプティング） セキュリティ
- DDoS攻撃 セキュリティ
- IDS・IPS（侵入検知・侵入防止システム） セキュリティ
- プロキシサーバ（Proxy Server） ネットワーク
- ブルートフォース攻撃（総当たり攻撃） セキュリティ
- バッファオーバーフロー セキュリティ
「WAF（Web Application Firewall）」の過去問を解いて理解を定着
合格ナビでは IPA 公式 600問 + 3段階の解説（初級・標準・上級） で「○○とは？」をその場で深掘りできます。
シラバス 6.5 準拠 / 最終更新: 2026-05-26