応用情報技術者 2022年 秋期 午前2 問42
問題文
WAF による防御が有効な攻撃として、最も適切なものはどれか。
選択肢
ア：DNSサーバに対する DNSキャッシュポイズニング
イ：REST API サービスに対するAPIの脆弱性を狙った攻撃（正解）
ウ：SMTP サーバの第三者不正中継の脆弱性を悪用したフィッシングメールの配信
エ：電子メールサービスに対する電子メール爆弾
WAF による防御が有効な攻撃とは【午前2 解説】
要点まとめ
- 結論：WAFはWebアプリケーションの脆弱性を狙った攻撃防御に最も効果的です。
- 根拠：WAFはHTTP/HTTPS通信を監視し、不正なリクエストを検知・遮断するため、APIの脆弱性攻撃に強いです。
- 差がつくポイント：ネットワーク層やDNS、メールサーバの攻撃にはWAFは直接効果が薄く、攻撃対象のプロトコルや層を理解することが重要です。
正解の理由
イ: REST API サービスに対するAPIの脆弱性を狙った攻撃が正解です。
WAF（Web Application Firewall）はWebアプリケーションのHTTP/HTTPS通信を監視し、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を防御します。REST APIもHTTPベースのサービスであり、APIの脆弱性を狙った攻撃はWAFの防御対象に含まれます。
WAF（Web Application Firewall）はWebアプリケーションのHTTP/HTTPS通信を監視し、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を防御します。REST APIもHTTPベースのサービスであり、APIの脆弱性を狙った攻撃はWAFの防御対象に含まれます。
よくある誤解
WAFはすべてのサーバ攻撃を防げるわけではなく、DNSやメールサーバのプロトコル固有の攻撃には効果が限定的です。
解法ステップ
- WAFの役割を理解する（WebアプリケーションのHTTP/HTTPS通信を監視・防御）
- 各選択肢の攻撃対象とプロトコルを確認する
- WAFが効果的に防御できる攻撃かどうかを判断する
- HTTPベースのAPI攻撃がWAFの防御範囲であることを確認する
- 正解を選択する
選択肢別の誤答解説
- ア: DNSキャッシュポイズニングはDNSプロトコルの脆弱性を突く攻撃であり、WAFの監視対象外です。
- イ: REST APIの脆弱性攻撃はHTTP通信を利用するため、WAFが有効に防御可能です。
- ウ: SMTPの不正中継はメールプロトコルの問題であり、WAFはメールサーバの通信を監視しません。
- エ: 電子メール爆弾は大量メール送信によるサービス妨害で、WAFの防御対象外です。
補足コラム
WAFはWebアプリケーションの脆弱性を狙う攻撃に特化した防御装置であり、APIのセキュリティ強化にも活用されます。一方で、DNSやメールなどのネットワーク層やアプリケーション層の異なるプロトコルには、それぞれ専用のセキュリティ対策が必要です。
FAQ
Q: WAFはどの層の攻撃を防御しますか？
A: 主にアプリケーション層（HTTP/HTTPS）での攻撃を防御します。
A: 主にアプリケーション層（HTTP/HTTPS）での攻撃を防御します。
Q: DNS攻撃にはWAFは効果がありますか？
A: いいえ。DNS攻撃はDNSサーバの脆弱性を突くため、WAFでは防御できません。
A: いいえ。DNS攻撃はDNSサーバの脆弱性を突くため、WAFでは防御できません。
Q: REST APIのセキュリティ対策にWAFは有効ですか？
A: はい。APIの脆弱性を狙った攻撃を検知・遮断できます。
A: はい。APIの脆弱性を狙った攻撃を検知・遮断できます。
関連キーワード: WAF, REST API, Webアプリケーションセキュリティ、DNSキャッシュポイズニング、SMTP不正中継、電子メール爆弾
\ せっかくなら /
応用情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！