平成30年度 秋期 応用情報技術者試験 午前 問41
テクノロジ／セキュリティクロスサイトスクリプティング対策に該当するものはどれか。
出典：平成30年度 秋期 応用情報技術者試験 午前 問41
- アWebサーバで SNMP エージェントを常時稼働させることによって，攻撃を検知する。
- イWebサーバのOSにセキュリティパッチを適用する。
- ウWebページに入力されたデータの出力データが，HTMLタグとして解釈されないように処理する。
- エ許容量を超えた大きさのデータをWebページに入力することを禁止する。
正解：ウ
解説
クロスサイトスクリプティング（XSS）は，Webページへの入力データがそのままHTMLとして出力されることで悪意あるスクリプトが実行される脆弱性です。対策として，出力データ中の特殊文字をエスケープ処理し，HTMLタグとして解釈されないようにする方法が有効です。
選択肢ごとの解説
- ア誤り。SNMPエージェントの常時稼働は機器の監視・管理に関するものであり，XSS対策とは直接関係ありません。
- イ誤り。OSへのセキュリティパッチ適用は一般的な脆弱性対策ですが，XSSの直接的な対策（出力エスケープ）ではありません。
- ウ正しい。出力データがHTMLタグとして解釈されないように処理（エスケープ処理）することがXSS対策の基本です。
- エ誤り。入力データ量の制限はバッファオーバフロー対策などに関連するもので，XSS対策の本質的な対策ではありません。