平成30年度 秋期 応用情報技術者 問41

正解 ウ

クロスサイトスクリプティング対策は、入力データを出力するときにエスケープ処理（サニタイジング）をして、HTMLタグとして解釈されないようにすることです。

クロスサイトスクリプティング（XSS）は、Webページの入力欄などにスクリプトを含むデータを入れ、それを表示した利用者のブラウザで実行させる攻撃です。対策の基本は、出力時に「<」「>」「&」「"」などの特殊文字を文字参照に置き換えることです。これをエスケープ処理と呼びます。この処理によって、入力データがHTMLタグやスクリプトとして解釈されなくなります。選択肢の「HTMLタグとして解釈されないように処理する」が、この対策にあたります。

ア：SNMP（Simple Network Management Protocol）エージェントは、機器の状態を監視・管理するための仕組みです。XSSの攻撃を検知したり防いだりするものではありません。

イ：OSへのセキュリティパッチ適用は、OSの脆弱性への対策です。XSSはWebアプリケーションの出力処理の不備を突く攻撃なので、OSのパッチでは防げません。

エ：許容量を超えるデータの入力を禁止するのは、バッファオーバフロー攻撃への対策です。

出典：平成30年度 秋期 応用情報技術者試験 問41