令和4年度秋期 応用情報技術者試験 午前 問42

正解：イ

AI解説

WAF(Web Application Firewall)は、Webアプリケーションへの入力内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層の脆弱性を狙った攻撃を検知・防御する仕組みであり、REST APIサービスに対するAPIの脆弱性を狙った攻撃にも有効である。 ア: DNSキャッシュポイズニングはDNSサーバのキャッシュ機構を狙った攻撃であり、WebアプリケーションへのHTTP通信を検査するWAFでは防御できない。 イ: REST APIサービスに対するAPIの脆弱性を狙った攻撃は、HTTPリクエストの内容を検査するWAFによって検知・防御が期待できる代表的な対象であり、これが正解である。 ウ: SMTPサーバの第三者不正中継(オープンリレー)を悪用したフィッシングメール配信は、メールサーバ側の設定の問題であり、Web通信を対象とするWAFの防御範囲外である。 エ: 電子メール爆弾(大量メール送付による妨害)はメールサーバ・メールシステムに対する攻撃であり、Webアプリケーションを保護するWAFの対象ではない。 💡 WAFは「Webアプリケーション(HTTP/HTTPS通信)への攻撃」に特化した防御であり、DNSやメールなど他プロトコルへの攻撃には効果がない点を押さえておく。