令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1

解説

クロスサイトリクエストフォージェリ（CSRF）攻撃は，利用者が別のサイトにログイン中であることを悪用し，罠のページなどから利用者の意図しないリクエストを正規サイトへ送信させる攻撃です。対策としては，重要操作の都度パスワードを再入力させる，リクエストごとにワンタイムトークンを照合する，Referer で遷移元を確認するなどが有効です。一方，"<"や">"などの特殊文字を実体参照に置き換える処理は，クロスサイトスクリプティング（XSS）対策のためのエスケープ処理であり，CSRF 対策としては効果がありません。

選択肢ごとの解説

• ア効果がある。重要な操作の都度パスワードの再入力を求めることで，罠から自動送信されたリクエストでは操作を完了できなくなり，CSRF 対策として有効です。
• イ効果がある。ログインごとに異なるトークンをレスポンスに含め，リクエスト時に照合する仕組みは CSRF トークン対策であり，有効です。
• ウ効果がある。Referer を確認して正しいリンク元からの遷移であることを検証することは，CSRF 対策の一つとして有効です。
• エ正しい。特殊文字のエスケープ処理はクロスサイトスクリプティング（XSS）対策であり，CSRF 攻撃への対策としては効果がありません。