情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度秋期 午前Ⅱ 問12: クロスサイトスクリプティングによる攻撃を防止する対策はどれか。

正解

エ. Webサイトへの入力データを表示するときに，HTMLで特別な意味をもつ文字のエスケープ処理を行う。

問題の解説

クロスサイトスクリプティング(XSS)は、利用者入力をWebページに出力する際に無害化せず、攻撃者の埋め込んだスクリプトが被害者のブラウザで実行される脆弱性。根本対策は、出力時に<,,&,"などHTMLで特別な意味をもつ文字をエスケープ(サニタイズ)すること。よってエが正しい。実務ではCookieのHttpOnly付与やCSPも併用し多層で防ぐ。

選択肢ごとの解説

• アSNMPによる負荷監視は可用性の運用監視であり、XSSの対策にはならず誤り。
• イOSのパッチ適用は重要だが、アプリの出力処理に起因するXSSの直接対策ではない。
• ウ入力サイズ制限はバッファ系対策に寄与するが、XSSの本質的な防止策ではない。
• エ出力時にHTML特殊文字をエスケープしてスクリプト実行を防ぐ点がXSS対策の正解。