令和4年度秋期 プロジェクトマネージャ 午前Ⅰ 問14

防御対象を見極める視点

攻撃の成立条件と、守る対象がどの層にあるかを対応づけて考えましょう。名称の印象だけで判断せず、通信の入口で何を検査し、何を防ぐ仕組みなのかという観点に絞って整理します。

この問題で問われていること

各候補について、狙われる対象と攻撃が現れる場所を確認し、境界で扱う脅威か、別の対策領域に属する脅威かを比較してください。具体的な用語の暗記より、役割との対応を優先します。

視点

防御機能を考えるときは、まず攻撃が向けられる対象、観測される通信や入力の位置、被害が及ぶ範囲を切り分けます。そのうえで、仕組みの担当範囲と照らし、対象の層が一致するかを確認すると整理しやすくなります。

確認ポイント

• 各候補の攻撃対象と観測位置が同じ層にあるか
• 防御の担当範囲と被害の発生箇所を対応づける
• 名称ではなく、入口で観測できる特徴に注目する

正解

イ

解説

WAFはWebアプリケーションへのHTTP通信を検査し、入力値や要求内容を悪用する攻撃を防御する。REST APIもWebアプリケーションの一形態なので、APIの脆弱性を狙う攻撃が最も適切な対象となる。DNSやSMTP、電子メール配送を直接狙う攻撃には、WAFの防御範囲は及ばない。

理由

WAFはWebサーバやWebアプリケーションに向けられたHTTPリクエストを検査し、SQLインジェクションや不正な入力など、アプリケーションの脆弱性を悪用する攻撃を検知・遮断する。REST APIもHTTPで利用されるWebサービスなので、APIの脆弱性を狙う攻撃はWAFによる防御が有効です。

比較

DNSキャッシュポイズニングはDNSの名前解決情報を狙い、第三者不正中継はSMTPサーバのメール転送設定を悪用する。また、電子メール爆弾は大量のメール送信によってメールサービスを圧迫する攻撃であり、いずれも通常のWAFが主な検査対象とするWebアプリケーションへのHTTP要求とは異なる。

選択肢ア

これは不正解だよ。DNSキャッシュポイズニングは、DNSサーバや名前解決のキャッシュに偽の情報を登録させ、利用者を誤った接続先へ誘導する攻撃である。DNSの応答やキャッシュ管理が対象であり、WebアプリケーションへのHTTPリクエストを検査するWAFの主な防御範囲とは異なる。

選択肢イ（正解）

これは正解だよ。REST APIはHTTPを利用するWebサービスであり、APIの脆弱性を狙った攻撃では、送信されたパラメータやリクエスト内容が悪用される。WAFはWebアプリケーションへの通信を検査して不正な要求を遮断できるため、この攻撃に対する防御として最も適切である。

選択肢ウ

これは不正解だよ。SMTPサーバの第三者不正中継は、メールサーバが外部からのメール送信を無制限に中継する設定や脆弱性を悪用する攻撃である。対象はSMTPの中継機能や設定であり、WebアプリケーションへのHTTP通信を扱うWAFの直接的な防御対象ではない。

選択肢エ

これは不正解だよ。電子メール爆弾は、大量の電子メールを送り付けてメールサービスの処理能力や記憶領域を圧迫する攻撃である。対象はメール配送・受信サービスの可用性であり、Webアプリケーションへの個々のHTTPリクエストを検査するWAFだけでは適切に防御できない。

学習のポイント

WAFの防御対象であるWebアプリケーション層と、DNS・メールなど他のサービス層を区別して覚える。