網路攻擊與防禦實務
關於網頁應用程式防火牆（WAF），正確的說明是下列何者？
- A只看IP位址與連接埠號碼決定讓通訊通過或阻斷的設備，不檢查HTTP的內容
- B只要設置WAF，即使不修補Web應用程式的弱點，也能完全防止包含SQL隱碼攻擊在內的所有攻擊
- C設置在Web應用程式前方，檢查HTTP要求的內容，阻擋含有典型攻擊字串的要求
查看答案與解析
正確答案：C. 設置在Web應用程式前方，檢查HTTP要求的內容，阻擋含有典型攻擊字串的要求
一般的防火牆以IP位址、連接埠號碼等控制通訊，因此無法阻止通過已允許之HTTPS連接埠、針對Web應用程式的攻擊。WAF檢查HTTP要求的URL、參數、標頭等內容，阻擋含有SQL隱碼攻擊或跨網站指令碼（XSS）典型樣式的要求，或不符合依應用程式訂定之規則的要求。它也用作從發現弱點到修補完成之間的暫時防護（虛擬修補）。不過也有能穿透規則的攻擊，因此不能取代弱點本身的修補。
- A. 這是封包過濾型防火牆的說明。WAF會檢查到HTTP的內容。
- B. 也有能穿透WAF規則的攻擊。它不能取代弱點的修補。
- C. 正確。檢查HTTP的內容，阻擋針對Web應用程式的攻擊。