平成23年度秋期 情報処理安全確保支援士 午前Ⅰ 問8

Webアプリのセキュリティ対策！「プレースホルダ」「エスケープ」「トークン」の正しい役割分担

Webサイトの脆弱性と対策のペア問題だよ。・「SQLインジェクション」には、SQL命令を固定する『プレースホルダ（バインド機構）』の利用が有効。・「クロスサイトスクリプティング（XSS）」には、HTML特殊文字を無害化する『エスケープ処理』が有効。・「CSRF（クロスサイトリクエストフォージェリ）」には、セッションごとに使い捨てる『ワンタイムトークン』による検証が有効だよ。

この問題で問われていること

それぞれの攻撃手法のメカニズムに対応した、最も効果的な根本対策の組み合わせ（SQLインジェクション対策＝プレースホルダ、XSS対策＝サニタイズなど）を正しく選ぼう。

Web Security Basics

web security requires matching specific controls such as validation and escaping to the threats they mitigate

input validation\nescaping\nauth control

確認ポイント

• 万能な単一対策はない。
• 脅威ごとに対策を対応付ける。
• 適切な基本対策を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。更新前のデータをコピーして保存するのは、失敗したときに戻せるように予備を取っておく作業だね。財布をなくした後に備えて控えを持つ感じで、ミスを未然に防ぐというより、トラブル後の復旧のための対策だよ。

選択肢イ

これは不正解だよ。入力の取消しができるのは、書き間違えた注文票をあとから消しゴムで直せるようにする仕組みだね。便利だけど、間違いを最初から起こしにくくするフールプルーフではなく、ミスした後に直すための機能だよ。

選択肢ウ（正解）

これは正解だよ。使う権限がない機能をメニューで実行できないようにするのは、関係者以外が入れない扉に鍵をかけておくようなものだね。最初から押せない・選べないようにしてミスや不適切な操作を防ぐので、フールプルーフの考え方に合っているよ。

選択肢エ

これは不正解だよ。操作ログを残すのは、防犯カメラで「あとから誰が何をしたか確認できる」ようにする対策だね。ミス操作そのものを防ぐ仕組みではないので、フールプルーフには当たらないよ。