平成30年度秋期 ITストラテジスト 午前Ⅰ 問13

入力値の扱いを見極める視点

この分野の設問では、利用者から届く内容がどの段階で扱われ、画面へ反映されるまでにどのような境界を通るかを整理すると、対策の役割や適用範囲を比較しやすくなります。

この問題で問われていること

一つの対策名や用語の印象で判断せず、入力から表示までの流れのうち、設問が問うている防御の位置と目的に注目し、各選択肢が示す観点を同じ基準で読み比べてください。

視点

防御策を考えるときは、対象となるデータの出所、処理される段階、利用者へ返される場面を順に整理し、どの境界でリスクを抑えようとしているかという概念の違いに着目します。

確認ポイント

• 入力された内容が、どの処理段階で扱われるかを確認する
• 防御の目的と適用される境界が設問の状況に合うかを見る
• 用語の知名度ではなく、説明される役割の範囲を比較する

正解

ウ

解説

クロスサイトスクリプティングは、Webページへの入力データがHTMLやスクリプトとして解釈されることで発生する攻撃です。そのため、出力時にHTMLタグとして解釈されないよう処理する対策が該当します。

理由

クロスサイトスクリプティングは、攻撃者が入力した文字列がWebページに埋め込まれ、ブラウザ上でHTMLタグやスクリプトとして実行されることで成立します。出力データをそのまま解釈させない処理が基本的な対策です。

比較

SNMPエージェントの稼働は攻撃の監視、OSへのセキュリティパッチ適用は脆弱性管理、大きすぎるデータの禁止は容量制限に関する対策です。いずれも入力内容のHTML解釈を防ぐ処理とは異なります。

選択肢ア

これは不正解だよ。SNMPエージェントを常時稼働させて攻撃を検知する方法は、ネットワーク機器やサーバの状態監視、管理情報の収集に関する対策です。入力データがHTMLタグやスクリプトとして解釈されることを防ぐ、クロスサイトスクリプティング対策そのものではありません。

選択肢イ

これは不正解だよ。WebサーバのOSにセキュリティパッチを適用することは、OSや関連ソフトウェアの既知の脆弱性を修正するための一般的な対策です。Webページへの入力値がHTMLタグとして扱われる問題を、出力処理によって防止する対策とは異なります。

選択肢ウ（正解）

これは正解だよ。Webページに入力されたデータを出力するとき、HTMLタグとして解釈されないように処理すれば、入力文字列に含まれるタグやスクリプトがブラウザで実行されることを防げます。これはクロスサイトスクリプティングへの基本的な対策です。

選択肢エ

これは不正解だよ。許容量を超えた大きさのデータを入力禁止にする方法は、過大な入力による処理負荷や容量超過などを抑えるための制限です。入力データがHTMLタグとして解釈されることを防ぐ処理ではないため、設問の対策には該当しません。

学習のポイント

XSS対策では、入力値の出力時にHTMLやスクリプトとして解釈されないようにする処理を理解しましょう。