令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11
テクノロジ／セキュリティクリックジャッキング攻撃に有効な対策はどれか。
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11
- アcookie に，HttpOnly 属性を設定する。
- イcookie に，Secure 属性を設定する。
- ウHTTP レスポンスヘッダーに，Strict-Transport-Security を設定する。
- エHTTP レスポンスヘッダーに，X-Frame-Options を設定する。
正解：エ
解説
クリックジャッキング攻撃は，攻撃者が透明化した標的サイトのフレームを罠サイト上に重ねて表示し，利用者に意図しないクリックを行わせる攻撃です。対策としては，HTTP レスポンスヘッダーに X-Frame-Options を設定し，自サイトのページが他サイトの iframe 内に埋め込まれることを防止することが有効です。
選択肢ごとの解説
- ア誤り。cookie の HttpOnly 属性は，JavaScript から cookie を読み取れないようにし，XSS によるセッション情報の窃取を防ぐ対策です。
- イ誤り。cookie の Secure 属性は，HTTPS 通信でのみ cookie を送信させることで盗聴を防ぐ対策です。
- ウ誤り。Strict-Transport-Security は，常に HTTPS で接続させることで通信の盗聴や中間者攻撃を防ぐ対策です。
- エ正しい。HTTP レスポンスヘッダーに X-Frame-Options を設定することで，ページが他サイトの iframe 内に埋め込まれることを防止し，クリックジャッキング攻撃を防げます。