応用情報技術者試験 応用情報技術者試験 令和6年度春期 午前 問41: WAF による防御が有効な攻撃として，最も適切なものはどれか。

正解

イ. REST API サービスに対する API の脆弱性を狙った攻撃

正答率 41.6%（534人中 222人が正解）

問題の解説

WAF は、HTTP や HTTPS の通信内容を検査して、SQL インジェクションやクロスサイトスクリプティングなど、Web アプリケーションの脆弱性を狙った攻撃を遮断する。REST API も HTTP で提供されるので、API の脆弱性を狙った攻撃は WAF で防御できる。DNS やメールのプロトコルへの攻撃は、WAF の検査対象ではない。

選択肢ごとの解説

• アDNS キャッシュポイズニングは DNS のプロトコルへの攻撃で、HTTP を検査する WAF では防げない。DNS サーバ側の対策が必要である。
• イ正しい。REST API は HTTP で提供されるので、WAF が要求の内容を検査して、API の脆弱性を狙った不正な入力などを防御できる。
• ウSMTP サーバの第三者中継の悪用は、メールプロトコルに関する問題で、WAF の対象外である。中継の制限や送信者の認証などで対策する。
• エ大量で大きなサイズのメールを配信して妨害する攻撃は、メールサーバやメールゲートウェイで対処するもので、WAF の対象外である。