令和4年度 高度共通 午前I（PM試験） 問14

正解：イ

AI解説

WAF(Web Application Firewall)は、HTTP/HTTPSの通信内容をアプリケーション層で検査し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションの脆弱性を突く攻撃を検知・遮断する。REST APIもHTTP上で提供されるWebアプリケーションの一種なので、APIの脆弱性を狙った攻撃はWAFの防御対象であり、イが正しい。 ア: DNSキャッシュポイズニングはDNSプロトコルへの攻撃であり、HTTP通信を検査するWAFでは防御できない。 イ: 正しい。REST APIへの攻撃はHTTPリクエストとして届くため、WAFがリクエスト内容を検査して不正なパターンを遮断できる。 ウ: SMTPの第三者中継はメールサーバの設定問題であり、WAFの守備範囲(HTTP)外である。 エ: 電子メール爆弾(大量メール送信)もSMTP/メールサービスへの攻撃であり、WAFでは防げない。 💡 WAFは「HTTP(S)で届くWebアプリ層の攻撃専用」と覚える。DNS・SMTPなど他プロトコルの攻撃が並んでいたら即除外できる。