令和4年度 秋期 情報処理安全確保支援士試験 午前II 問11
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
クリックジャッキング攻撃に有効な対策はどれか。
解答・解説
正解: エ. HTTP レスポンスヘッダーに, X-Frame-Options を設定する。
クリックジャッキング攻撃は、Webサイト上に透明な iframe などを重ねて配置し、ユーザーに視覚的に気付かせないまま、意図しないクリック操作（ボタンの押下など）を行わせる攻撃手法です。
この攻撃を防ぐためには、自サイトのコンテンツが他サイトのフレーム内で表示されることを制限する必要があります。
そのため、HTTPレスポンスヘッダーに X-Frame-Options を設定してフレーム内での表示を禁止・制限することが有効な対策となります。したがって正解は エ です。
各選択肢の解説
- ア: cookie に, HttpOnly 属性を設定する。
JavaScriptなどのクライアント側スクリプトからcookieへのアクセスを禁止する設定です。主に クロスサイトスクリプティング（XSS） によるセッションハイジャック対策として有効です。 - イ: cookie に, Secure 属性を設定する。
暗号化された通信（HTTPS）のときのみcookieを送信するようにする設定です。通信経路での 盗聴 によるcookieの漏洩を防ぐ対策として有効です。 - ウ: HTTP レスポンスヘッダーに, Strict-Transport-Security を設定する。
Webブラウザに対して、次回以降のアクセスを強制的にHTTPSで行うよう指示する設定（HSTS）です。中間者攻撃やダウングレード攻撃を防ぐために有効です。 - エ: HTTP レスポンスヘッダーに, X-Frame-Options を設定する。
正解です。 Webページを<iframe>等で読み込むことを制限できるため、クリックジャッキング攻撃 の対策として有効です。