【支援士・午後記述の解剖室】「WAFを導入する」と書いて0点になる理由。35字に宿るパラメータの解像度

午後試験の終了直後、SNSの解答速報を見てあなたはガッツポーズをする。「よし、設問2はSSRF（サーバサイドリクエストフォージェリ）だ。設問3は認可制御の不備（IDOR）、設問4はSPFとDKIMの不整合。全部読み切れた」。 しかし合格発表の日、受験番号はなかった。得点照会には「56点」という残酷な数字が並んでいる。 なぜ攻撃の仕組みを完全に理解していた受験者が落ちるのか。答えは記述欄に書いた「35字の解像度」にある。 たとえばクラウド環境上のWebサーバが、外部から指定されたURLの画像をフェッチする機能（SSRF脆弱性）を持っていたとする。「この脆弱性を悪用してクラウドのIAM認証情報を窃取されるのを防ぐため、Webアプリ側で行うべき対策を35字以内で述べよ」という設問に対し、不合格者はこう書く。 ×『WAFを導入し、外部からの不正なリクエストを検知して遮断する。（30字）』 ➔ 0点 ×『入力されたURLをサニタイズし、不正な文字列を無害化する。（28字）』 ➔ 0点 「不正なリクエスト」「サニタイズ」という言葉は、中身が何もない魔法の杖だ。採点官は魔法の杖には1点もくれない。

先ほどのSSRF対策の設問で、IPAの採点基準が要求している35字はこうだ。 ◎『指定されたURLの名前解決後のIPアドレスがプライベートIPやリンクローカルIPでないことを確認する。（48字→35字圧縮：「接続先URLの解決後IPが内部網やメタデータIPでないか検証し拒否する。」35字）』 あるいは認可制御の不備（他人の注文履歴が見えてしまう脆弱性）に対する対策であれば： ×『セッション管理を強化し、他人のデータにアクセスできないようにする。（33字）』 ➔ 0点 ◎『セッションから取得したユーザIDと注文データの所有者IDが一致するか検証する。（38字）』 ➔ 満点 違いは何か。満点解答には必ず「比較する2つのデータ（セッションのユーザID ⇔ DBの所有者ID）」または「遮断する具体的な条件（名前解決後のIPアドレス ⇔ 内部IP帯域）」が明記されている。午後問題を解くときは、問題文のソースコードや通信ログの中に登場する『変数名』『テーブル列名』『HTTPヘッダ名』に四角い枠をつけ、その単語をそのまま解答欄に移植する習慣をつけよう。それだけで午後の得点は15点跳ね上がる。