WAFによる防御が有効な攻撃として、最も適切なものはどれか。

選択肢

• アDNSサーバに対するDNSキャッシュポイズニング
• イREST APIサービスに対するAPIの脆弱性を狙った攻撃
• ウSMTPサーバの第三者不正中継の脆弱性を悪用したフィッシングメールの配信
• エ電子メールサービスに対する大量、かつ、サイズの大きな電子メールの配信

正解と解説

正解：イ REST APIサービスに対するAPIの脆弱性を狙った攻撃

WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を解析してアプリケーション層の攻撃を検知・遮断する仕組みである。SQLインジェクションやクロスサイトスクリプティングのほか、HTTPで提供されるREST APIの脆弱性を突く攻撃も防御対象になる。ネットワーク層の攻撃やHTTP以外のプロトコルへの攻撃は守備範囲外である。

選択肢ごとの解説

• アDNSキャッシュポイズニングはDNSに対する攻撃で、HTTP通信を検査するWAFの対象外である。
• イ正しい。REST APIはHTTPで提供されるため、その脆弱性を狙う攻撃はWAFで検査・遮断できる。
• ウSMTPの第三者中継の悪用はメールサーバ側の設定で対処すべき問題である。
• エ大量・大容量のメール送信への対処はメールシステムやDoS対策の領域である。

この問題に出た用語

• WAF（Webアプリケーションファイアウォール）
• DNSキャッシュポイズニング
• Web API（REST API）
• SQLインジェクション
• クロスサイトスクリプティング（XSS）
• API（アプリケーションプログラミングインタフェース）
• オープンリレー（第三者中継）
• REST
• フィッシング

同じ分野の他の問題

• 電子メールの送信時に、送信側メールサーバでデジタル署名を電子メールヘッダーに付与し、受信側メールサーバでそれを検証するこ…2025年度 秋期 午前 問45
• デジタルフォレンジックスの手順は収集、検査、分析及び報告から成る。このとき、デジタルフォレンジックスの手順に含まれるもの…2025年度 秋期 午前 問44
• 脆弱性検査で、ホストに対してポートスキャンを行う。スキャンしたポートの状態を判定する方法のうち、適切なものはどれか。2025年度 秋期 午前 問43
• CSPM（Cloud Security Posture Management）はどれか。2025年度 秋期 午前 問42
• パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。2025年度 春期 午前 問44