WAF とオリジン保護のクイズ
最終更新日: 2026年10月15日
1. 記載されている WAF の直接関連付けをサポートする API Gateway リソースはどれですか？
- A) REST API
- B) すべての HTTP API
- C) すべての WebSocket API
- D) 任意の NLB リスナー
回答を表示
回答: A) REST API
解説: サポートされるリソースの一覧を確認してください。リソースの前段に CloudFront を置いて保護することと、直接関連付けることは異なります。
2. 広範な Allow ルールが先に一致すると何が起きますか？
- A) 後続のルールが常に評価される
- B) 評価が終了し、後続の保護が省略される可能性がある
- C) Count ルールだけが停止する
- D) デフォルトの Block が常に優先される
回答を表示
回答: B) 評価が終了し、後続の保護が省略される可能性がある
解説: Allow と Block は評価を終了し、Count は継続します。ルールの優先順位と、範囲を限定した例外を確認してください。
3. リクエストボディの上限に関する正しい比較はどれですか？
- A) ALB は常に 64 KB を検査する
- B) すべてのリソースで上限は同じである
- C) ALB は 8 KB 固定。CloudFront はデフォルトで 16 KB、サポートされる場合は 64 KB まで増やせる
- D) ボディの上限はアップロードの上限と同じである
回答を表示
回答: C) ALB は 8 KB 固定。CloudFront はデフォルトで 16 KB、サポートされる場合は 64 KB まで増やせる
解説: 検査サイズはアプリケーションのアップロード上限とは異なります。また、AWS のドキュメントでは gRPC ボディの検査も対象外とされています。
4. oversize MATCH は常にリクエストをブロックしますか？
- A) アクションに関係なく、ブロックする
- B) NOT の中でもブロックする
- C) 先行する Allow の後でもブロックする
- D) いいえ。ステートメントに一致し、最終動作はアクション/合成方法によって決まる
回答を表示
回答: D) いいえ。ステートメントに一致し、最終動作はアクション/合成方法によって決まる
解説: アクション、論理合成、先行する評価終了ルールを確認してください。MATCH はそれ自体が独立した Block アクションではありません。
5. CloudFront のアドレス範囲だけでは、自分のディストリビューションを特定できないのはなぜですか？
- A) ほかの CloudFront 経路も同じインフラストラクチャを使う場合がある
- B) CloudFront は HTTPS を使えない
- C) ALB にはリスナールールがない
- D) すべてのオリジンヘッダーは暗号署名である
回答を表示
回答: A) ほかの CloudFront 経路も同じインフラストラクチャを使う場合がある
解説: ネットワーク制限に加えて、保護されたオリジンヘッダー/リスナー条件、またはサポート対象の VPC オリジン設計を組み合わせ、迂回経路をテストしてください。
6. 包含する NOT がない場合、ヘッダーが存在しないときの直接転送 IP ステートメントはどうなりますか？
- A) フォールバックは常にブロックする
- B) ステートメントは一致せず、ヘッダーがない場合と不正なフォールバックは異なる
- C) ヘッダーは自動的に認証される
- D) 常に最後のアドレスを使用する
回答を表示
回答: B) ステートメントは一致せず、ヘッダーがない場合と不正なフォールバックは異なる
解説: ヘッダーがない場合に不正値のフォールバックは実行されません。外側の NOT は不一致の結果を一致に反転する場合があります。Geo/ASN/レート制限では最初のアドレスが使われ、IP セットでは FIRST/LAST/ANY という設定済みの選択方法が使われます。
7. レートルールについて正しい記述はどれですか？
- A) 正確な毎秒クォータである
- B) ウィンドウを変更しても、すべてのカウンターが維持される
- C) トラッキングは近似値であり、関連設定を変更するとカウンターがリセットされる
- D) クライアントが制御する集計キーでは回避できない
回答を表示
回答: C) トラッキングは近似値であり、関連設定を変更するとカウンターがリセットされる
解説: ウィンドウ、集計、リセット、共有 NAT、攻撃者が操作できるキーの変更をテストしてください。ビジネスクォータはアプリケーションで適用します。
8. WAF ログの編集設定によって自動的に確認できることは何ですか？
- A) サンプリングされたリクエストがすべて編集される
- B) どこにも機密データが表示されない
- C) ログの損失が起こらない
- D) 設定されたログフィールドの処理だけ。サンプリング/データ保護は別途確認が必要
回答を表示
回答: D) 設定されたログフィールドの処理だけ。サンプリング/データ保護は別途確認が必要
解説: 実際に収集されたデータを調べてください。ログの編集設定だけでは、リクエストのサンプリングや Security Lake への収集は自動的に保護されません。