平成30年度 秋期 応用情報技術者試験 午前 問41

• ア: Web サーバで SNMP エージェントを常時稼働させることによって，攻撃を検知する。
  誤り。SNMP はネットワーク機器などの監視・管理のためのプロトコルであり，クロスサイトスクリプティングの対策にはなりません。

• イ: Web サーバの OS にセキュリティパッチを適用する。
  誤り。OS の脆弱性への対策としては有効ですが，クロスサイトスクリプティングは Web アプリケーションの出力処理の不備を突く攻撃であり，OS のパッチでは防げません。

• ウ: Web ページに入力されたデータの出力データが，HTML タグとして解釈されないように処理する。
  正しい。クロスサイトスクリプティングは，利用者が入力したスクリプトなどがそのまま Web ページに出力され，ブラウザ上で実行されてしまう攻撃です。出力時に < を < に置き換えるなどのエスケープ処理（サニタイジング）を行い，HTML タグとして解釈されないようにすることが基本的な対策です。

• エ: 許容量を超えた大きさのデータを Web ページに入力することを禁止する。
  誤り。入力データの大きさを制限するのは，主にバッファオーバフロー攻撃への対策です。短いスクリプトでも攻撃は成立するため，クロスサイトスクリプティングの対策にはなりません。

答え

ウ: Web ページに入力されたデータの出力データが，HTML タグとして解釈されないように処理する。