令和4年度秋期 情報処理安全確保支援士 午前Ⅰ 問14

WAFが守るのはWebアプリの入口だよ

WAFは、Webアプリの前に立つ“受付係”みたいなものだよ。HTTP/HTTPSでやり取りされる中身を見て、「このリクエスト、アプリの弱点を突こうとしてない？」とチェックするんだ。だから、DNSキャッシュポイズニングやSMTP中継、メール爆弾のような別分野の攻撃ではなく、REST APIサービスに対するアプリケーション脆弱性攻撃を防ぐのがWAFの得意分野だよ。

この問題で問われていること

機器の名前だけで判断するのではなく、「どの通信の層を見ているのか」「どんな攻撃を防ぐものなのか」を考えよう。WAFはHTTP/HTTPSのアプリケーション層を見るので、WebアプリやAPIへの攻撃が対象になるよ。

Matching WAF to the Right Attack Type

a WAF is effective against application-layer attacks on web sites or APIs、 not against DNS poisoning、 mail relaying、 or mail-bomb attacks

WAF watches HTTP or HTTPS traffic\nprotects web apps and APIs\nnot for DNS poisoning\nnot for SMTP relay abuse

確認ポイント

• WAF はアプリ層対策。
• DNS や SMTP 攻撃と混同しない。
• API 攻撃が対象だと押さえる。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。DNSキャッシュポイズニングは、住所案内所にうその住所を覚えさせて、利用者を偽サイトへ案内させるような攻撃なんだ。これはDNSサーバの問題で、Webアプリの入口を守るWAFの守備範囲とは違うよ。

選択肢イ（正解）

これは正解だよ。WAFは、Webアプリの入口にいる警備員みたいなもの。REST APIもWeb経由で使う窓口なので、不自然なリクエストや攻撃っぽい入力を見張って止めるのが得意なんだ。だから、APIの脆弱性を狙う攻撃にはWAFによる防御が有効だよ。

選択肢ウ

これは不正解だよ。SMTPサーバの第三者不正中継は、他人の郵便局を勝手に使って迷惑メールをばらまくような話なんだ。WAFが見るのは主にWebアプリへのHTTP/HTTPS通信なので、SMTPサーバのメール中継の問題には直接向いていないよ。

選択肢エ

これは不正解だよ。電子メール爆弾は、メール箱に大量の手紙を送りつけてあふれさせるような攻撃なんだ。WAFはWebアプリの入口を守る警備員なので、メールサービスそのものへの大量メール攻撃を防ぐ担当ではないよ。