令和4年度 秋期 プロジェクトマネージャ試験 データベーススペシャリスト試験 エンベデッドシステムスペシャリスト試験 システム監査技術者試験 情報処理安全確保支援士試験 午前 I 問題 【共通】 問14

WAF（Web Application Firewall）は、Webアプリケーションに対する攻撃を検知し、防御するためのセキュリティ対策です。主にHTTP/HTTPSレベルの通信を解析し、Webアプリケーションの脆弱性を狙った攻撃を防ぎます。

本設問では、WAFによる防御が最も有効な攻撃を問うています。REST APIサービスは、HTTP(S)ベースのプロトコルを利用して通信を行うため、WAFの防御対象となります。

各選択肢の解説

• ア: DNSキャッシュポイズニングは、DNSプロトコルを狙う攻撃であり、HTTP(S)通信を対象とするWAFでは防御できません。
• イ: 正解です。 REST APIサービスはHTTPプロトコルを使用して通信するため、WAFによってAPIの脆弱性を狙った攻撃（不正なリクエストなど）を防御することが有効です。
• ウ: フィッシングメールの配信は、SMTPプロトコルなどの電子メールサービスを利用した攻撃であり、Webアプリケーションを対象とするWAFでは防御できません。
• エ: 電子メール爆弾は、大量のメールを送信してシステムを過負荷にするDoS攻撃の一種であり、WAFの防御対象外です。