クリックジャッキング攻撃に有効な対策はどれか。

選択肢

• アcookieに,HttpOnly属性を設定する。
• イcookieに,Secure属性を設定する。
• ウHTTPレスポンスヘッダーに,Strict-Transport-Securityを設定する。
• エHTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。

正解と解説

正解：エ HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。

クリックジャッキングは、透明化した攻撃対象サイトのページをiframeで自サイトに重ね、利用者が意図しないボタンをクリックさせる攻撃である。したがって対策は、自サイトのページを他サイトのフレーム内に埋め込ませないことであり、HTTPレスポンスヘッダーのX-Frame-Options（またはCSPのframe-ancestors）でフレーム表示を禁止する。

選択肢ごとの解説

• アHttpOnly属性はスクリプトからのcookie読み出しを防ぐもので、XSS経由のcookie窃取対策。フレーム埋め込みは防げない。
• イSecure属性はHTTPS通信時のみcookieを送信させる設定で、盗聴対策にあたる。
• ウHSTSはブラウザに常時HTTPS接続を強制するヘッダーで、通信路の平文化を防ぐもの。
• エ正しい。フレーム内での表示可否を制御し、重ね合わせによる誘導クリックを防げる。

この問題は2回出題されています

• 2022年度 秋期 午前II 問11この問題の代表ページ
• 2024年度 秋期 午前II 問14（このページ）

同じ分野の他の問題

• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前II 問16
• WAFにおけるフォールスポジティブに該当するものはどれか。2024年度 秋期 午前II 問12
• Webサーバから送信されるHTTPヘッダーのうち、Webサーバからの応答の内容を、Webブラウザやプロキシサーバなどのキ…2024年度 春期 午前II 問20
• HTTP Strict Transport Security(HSTS)の動作はどれか。2024年度 春期 午前II 問13
• クロスサイトリクエストフォージェリ攻撃の対策として、効果がないものはどれか。2024年度 春期 午前II 問1