中小企業診断士 第1次試験 システム開発・プロジェクト管理・情報セキュリティ 練習問題 第11問: Webアプリケーションの脆弱性を悪用する攻撃とその対策に関する記述として、最も適切なものはどれか。

「プレースホルダでSQL文を組み立てる」が適切です。IPAの「安全なウェブサイトの作り方」は、利用者の入力を基にSQL文を組み立てる方法に問題があると、データベースの不正な操作（情報漏えい・改ざん・消去）を招くとし、根本的な対策として、SQL文の雛形の中に変数の場所を示す記号（プレースホルダ）を置き、後から実際の値を機械的に割り当てる方法を挙げています。

入力値はSQLの命令の一部ではなく値として扱われます。「TLSで暗号化すれば防げる」は誤りで、暗号化は通信の盗聴を防ぐもので、送られてくる値の中身はそのままサーバーで処理されます。

「罠のページを経由して意図しない更新処理を実行させる」のはCSRF（クロスサイト・リクエスト・フォージェリ）の説明で、クロスサイト・スクリプティングは、ウェブページへの出力処理の不備を突いて利用者のブラウザ上で不正なスクリプトを実行させる攻撃です。「大量の要求を送りつけてサービスを止める」のはDoS（サービス妨害）攻撃で、CSRFは、ログイン中の利用者が罠により予期しない処理を実行させられる攻撃です。

「入力値の内容をチェックする」は、同書ではクロスサイト・スクリプティングの保険的対策で、根本的な対策はウェブページに出力するすべての要素にエスケープ処理をすることです。攻撃ごとに、どこ（SQL文・出力・要求の出どころ）の不備を突くかで対策が決まると押さえましょう。