情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第3問: IPA「安全なウェブサイトの作り方」改訂第7版が、HTTP レスポンスヘッダに X-Frame-Options ヘッダフィールドを出力し、他ドメインのサイトから

正解: 2. クリックジャッキング

「クリックジャッキング」が適切です。IPA「安全なウェブサイトの作り方」改訂第7版は、X-Frame-Options をウェブアプリケーションをクリックジャッキング攻撃から防御するためのヘッダと説明し、他ドメインのサイトからのフレームによる読み込みの制限を根本的解決 9-(i)-a に挙げています。クリックジャッキングは、罠のページの上に対象サイトをインラインフレームで重ねて見た目を透明にし、利用者に意図しない機能を実行させる攻撃です。同書の根本的解決は、クロスサイト・リクエスト・フォージェリでは秘密情報や Referer の確認など、クロスサイト・スクリプティングでは出力する全ての要素へのエスケープ処理など、SQL インジェクションではプレースホルダでの実装などで、X-Frame-Options ではありません。

関連キーワード: クリックジャッキング・X-Frame-Options・クロスサイト・リクエスト・フォージェリ・クロスサイト・スクリプティング