令和6年度 春期 応用情報技術者試験 午前 問41
テクノロジセキュリティ技術ネットワーク防御・セキュリティ製品
WAFによる防御が有効な攻撃として，最も適切なものはどれか。
解答・解説
正解: イ. REST APIサービスに対するAPIの脆弱性を狙った攻撃
WAF (Web Application Firewall) について
WAFは、Webアプリケーションの脆弱性を突いた攻撃からシステムを防御するためのファイアウォールです。主に HTTP/HTTPS 通信のアプリケーション層の中身を検査し、不正な通信を遮断します。
REST APIは HTTP/HTTPS プロトコルを利用して通信を行うため、WAFによって不正なリクエスト（APIの脆弱性を狙った攻撃）を検知・防御することが可能です。したがって、イが正解となります。
各選択肢の解説
- ア: DNSキャッシュポイズニングは、DNSプロトコル（主にUDPポート53）に対する攻撃です。WAFの保護対象（HTTP/HTTPS）ではないため、防御できません。
- イ: 正解。REST APIはWebアプリケーション技術（HTTP/HTTPS）基盤上で動作するため、WAFによる防御が有効です。
- ウ: SMTPサーバの第三者不正中継（オープンリレー）の悪用は、SMTPプロトコル（TCPポート25など）に対する攻撃です。WAFの保護対象外です。
- エ: 電子メールサービスへの大量・大容量メールの配信（メールボムなど）も、SMTP通信を介して行われます。WAFでは防ぐことができないため、メールサーバ側の受信制限などで対策する必要があります。