図のような構成と通信サービスのシステムにおいて、Webアプリケーションの脆弱性対策のためのWAFの設置場所として、最も適切な箇所はどこか。ここで、WAFには通信を暗号化したり、復号したりする機能はないものとする。

なぜ ア は間違いか

インターネットからファイアウォールの手前は HTTPS のまま――つまり封が閉じた荷物。WAFが「開封機能なし」な以上、中身を読めないのでここに置いても飾りにしかならない。

なぜ イ は間違いか

ファイアウォールを越えてもまだ HTTPS のまま b 地点に届く。SSLアクセラレータが暗号を解くのはこの後なので、やっぱり封は閉じたまま。惜しいが一歩手前。

なぜ エ は間違いか

d はWebサーバとデータベースの間――もはやHTTPですらなくDBプロトコルの世界。Webアプリの脆弱性を狙う攻撃はもう通り過ぎた後であり、WAFを置いても「泥棒が帰った後に鍵を締めた」状態になる。