令和6年度春期応用情報技術者試験午前問41

この問題は2024(R6)春応用情報技術者午前に出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

WAFによる防御が有効な攻撃として，最も適切なものはどれか。

ア. DNSサーバに対するDNSキャッシュポイズニング

イ. REST APIサービスに対するAPIの脆弱性ぜいを狙った攻撃

ウ. SMTPサーバの第三者不正中継の脆弱性を悪用したフィッシングメールの配信

エ. 電子メールサービスに対する大量，かつ，サイズの大きな電子メールの配信

解答・解説を読む

正解: 選択肢イ

WAFは、Webアプリケーションの脆弱性を突いた攻撃からシステムを防御するためのファイアウォールです。主に HTTP/HTTPS 通信のアプリケーション層の中身を検査し、不正な通信を遮断します。

REST APIは HTTP/HTTPS プロトコルを利用して通信を行うため、WAFによって不正なリクエスト（APIの脆弱性を狙った攻撃）を検知・防御することが可能です。したがって、イが正解となります。

ア: DNSキャッシュポイズニングは、DNSプロトコル（主にUDPポート53）に対する攻撃です。WAFの保護対象（HTTP/HTTPS）ではないため、防御できません。
イ: 正解。REST APIはWebアプリケーション技術（HTTP/HTTPS）基盤上で動作するため、WAFによる防御が有効です。
ウ: SMTPサーバの第三者不正中継（オープンリレー）の悪用は、SMTPプロトコル（TCPポート25など）に対する攻撃です。WAFの保護対象外です。
エ: 電子メールサービスへの大量・大容量メールの配信（メールボムなど）も、SMTP通信を介して行われます。WAFでは防ぐことができないため、メールサーバ側の受信制限などで対策する必要があります。