令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティクリックジャッキング攻撃に有効な対策はどれか。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
- アcookie に，HttpOnly 属性を設定する。
- イcookie に，Secure 属性を設定する。
- ウHTTP レスポンスヘッダーに，Strict-Transport-Security を設定する。
- エHTTP レスポンスヘッダーに，X-Frame-Options を設定する。
正解：エ
解説
クリックジャッキング攻撃は，正規の Web サイトを透明な iframe などで攻撃者の罠ページに重ねて表示し，利用者が罠ページ上のボタンなどをクリックしたつもりで，実際には背後の正規サイト上の意図しない操作（重要な設定変更や決済操作など）をクリックさせられてしまう攻撃です。対策として，HTTP レスポンスヘッダーに X-Frame-Options を設定し，自サイトのページが他サイトの iframe 内に埋め込まれることを禁止（あるいは同一オリジンのみ許可）することで，攻撃を防ぐことができます。
選択肢ごとの解説
- ア誤り。cookie の HttpOnly 属性は，JavaScript から cookie を読み取れないようにして XSS によるセッションハイジャックなどを防ぐための設定であり，クリックジャッキング対策ではありません。
- イ誤り。cookie の Secure 属性は，HTTPS 通信時のみ cookie を送信するようにする設定であり，クリックジャッキング対策ではありません。
- ウ誤り。Strict-Transport-Security（HSTS）は，以降のアクセスを常に HTTPS で行わせる設定であり，クリックジャッキング対策ではありません。
- エ正しい。X-Frame-Options を設定することで，ページが他サイトの iframe 内に埋め込まれることを制限し，クリックジャッキング攻撃を防ぐことができます。