情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成26年度春期 午前Ⅰ 問13: 安全な Web アプリケーションの作り方について，攻撃と対策の適切な組合せはどれか。

正解

ア. SQL インジェクション：SQL 文の組立てに静的プレースホルダを使用する。

問題の解説

Webアプリの攻撃と対策の正しい組合せを問う。SQLインジェクションには、値をSQL構文と分離する静的プレースホルダ(バインド機構)が最も確実な対策でアが正解。他の3つは対策が逆効果か攻撃を助長する。実務ではプレースホルダの徹底、出力時のエスケープ、CSRFトークン、セッションID再発行が基本の防御パターンとなる。

選択肢ごとの解説

• ア静的プレースホルダは値をSQL構文と分離し注入を防ぐ確実な対策で正解。
• イ外部サイトのスタイルシート取込みはXSSを助長し、対策どころか脆弱化で誤り。
• ウCSRF対策はトークン付与等が必要で、GET使用はむしろ攻撃を容易にし誤り。
• エ固定セッションIDはハイジャックを招くため、対策ではなく脆弱化で誤り。