解説

WAF（Web Application Firewall）はHTTP/HTTPSの通信を監視・フィルタリングし、Webアプリケーション層（L7）への攻撃を防御するセキュリティ機器。SQLインジェクション、XSS（クロスサイトスクリプティング）、コマンドインジェクション、パスストラバーサルなどWebアプリケーション固有の攻撃に有効。REST APIはHTTP上で動作するWebサービスであり、APIの脆弱性（認証不備・インジェクション・パラメータ改ざん等）はWAFで検知・防御できる。選択肢bの「REST APIサービスに対するAPIの脆弱性を狙った攻撃」が正解。

なぜ他の選択肢は違うのか

選択肢 ア

DNSキャッシュポイズニングはDNSプロトコル（UDP）レベルの攻撃。WAFはHTTP/HTTPSを対象とするため、DNSプロトコルへの攻撃は防御できない。

選択肢 ウ

SMTPサーバの第三者不正中継の悪用はメールプロトコル（SMTP）の設定問題。WAFはHTTP/HTTPSを対象とし、SMTPは対象外。

選択肢 エ

電子メール爆弾はメール（SMTP）に対する攻撃。WAFはWebアプリケーション層を対象とし、メールサービスへの攻撃には対応しない。

解くときのポイント

WAF＝「HTTPレベルのWebアプリケーション攻撃を防御」。守備範囲：SQLi・XSS・CSRF・パスストラバーサル・API脆弱性。守備範囲外：DNS攻撃・メール攻撃・ネットワーク層DoS。ファイアウォール（L3/4）・IPS（L4/7シグネチャ）との違いも整理。