令和6年度 秋期 情報処理安全確保支援士試験 午前 II 問題 問14
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
クリックジャッキング攻撃に有効な対策はどれか。
解答・解説
正解: エ. HTTPレスポンスヘッダーに, X-Frame-Optionsを設定する。
クリックジャッキング攻撃は、利用者が意図せずに別のWebページのボタンやリンクをクリックさせられてしまう攻撃です。攻撃者は罠サイトを用意し、その上に透明にした標的サイト（iframeなど）を重ねて配置することで、利用者を騙してクリックを誘発します。
この攻撃を防ぐためには、自身のWebサイトが他のドメインのサイトから<iframe>などのフレーム内に読み込まれることを制限する必要があります。これに有効なのが、HTTPレスポンスヘッダーにX-Frame-Optionsを設定することです。
各選択肢の解説
- ア: 誤り。cookieに
HttpOnly属性を設定すると、JavaScriptなどのクライアント側スクリプトからcookieにアクセスできなくなります。これは主にクロスサイトスクリプティング（XSS）によるセッションハイジャック対策として有効です。 - イ: 誤り。cookieに
Secure属性を設定すると、HTTPS通信時のみcookieが送信されるようになります。これは通信経路上での盗聴（スニッフィング）によるセッション情報漏えい対策として有効です。 - ウ: 誤り。HTTPレスポンスヘッダーに
Strict-Transport-Securityを設定すると、次回以降のアクセスを強制的にHTTPSにするHSTS（HTTP Strict Transport Security）が有効になります。これは中間者攻撃やダウングレード攻撃などの対策として有効です。 - エ: 正解。HTTPレスポンスヘッダーに
X-Frame-Optionsを設定することで、Webページがフレーム内で表示されることを制限（DENYやSAMEORIGINなど）でき、クリックジャッキング攻撃の有効な対策となります。