WAFにおけるフォールスポジティブ

HTML の特殊文字 "<" を検出したときに通信を遮断するように WAF を設定した場合、攻撃ではない Web サイトに "<" を数式の一部として含んだ HTTP リクエストが送信されたとき、WAF が攻撃として検知し、遮断する。

HTTP リクエストのうち、RFC などに定義されており、Web アプリケーションソフトウェアの開発者が独自に追加したフィールドについては WAF が検知しないという仕様を悪用して、攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき、WAF が遮断しない。

HTTP リクエストのパラメータに許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合、許可しない文字列をパラメータ中に含んだ不正な HTTP リクエストが送信されたとき、WAF が攻撃として検知し、遮断する。

悪意のある通信を正常な通信と見分けて、HTTP リクエストを分割して送信されたとき、WAF が遮断しない。