令和6年度 春期 午前 問41

✓ これが正解イREST API サービスに対する API の脆弱性を狙った攻撃

解説

守れるのは Web の要求として届く攻撃です。

設問は、WAF による防御が有効な攻撃を選ばせています。軸になるのは、その攻撃が Web の要求として飛んでくるかどうかという一点です。WAF は Web サーバの手前に置き、やり取りされる HTTP や HTTPS の中身、すなわち引数や見出しや本文まで見て、攻撃らしい要求をはじく仕組みです。宛先とポートまでしか見ない一般的なファイアウォールと違うのはこの点で、裏を返せば、その位置を通らない通信は初めから視界に入りません。REST API は HTTP で呼び出す Web の仕組みですから、その API の弱点を突く攻撃は要求としてこの検査の前を通ります。したがって、REST API サービスに対する脆弱性を狙った攻撃が正解です。この型の設問は、それぞれの攻撃がどの経路を流れるかを一語で言い直すと片が付きます。

ほかの選択肢はなぜ違うのか

• アDNS サーバに対する DNS キャッシ…：名前解決の応答を偽って別の宛先へ導く攻撃です。やり取りが起きるのは問合せの経路であり、Web サーバの手前に置いた検査には流れてきません。備えとしては応答に署名を付ける方式や、問い合わせる側の設定の見直しが挙がります。
• ウSMTP サーバの第三者不正中継の脆弱性…：電子メールを中継する側の設定の穴を突かれた話です。直す場所はメールを送り出すサーバの中継の設定であり、要求の中身を調べる位置には、この通信そのものが届きません。
• エ電子メールサービスに対する大量，かつ，サ…：大きな電子メールを大量に送りつけ、処理を詰まらせるものです。これもメールを運ぶ経路で起きるので、一つずつ要求を調べる仕組みでは受け止められません。