ITストラテジストの過去問を解説！令和3年度(2021年度)春期 午前2(問23)

令和3年度ITストラテジスト試験の過去問解説連載です。
この記事では午前2 第23問を解説します。

問23：セキュリティに関する問題

格納型クロスサイトスクリプティング(Stored XSS又はPersistent XSS)攻撃に該当するものはどれか。

解説

クロスサイトスクリプティングとは

クロスサイトスクリプティング(XSS)とは、WEBサイトの脆弱性を利用して罠(別なサイトに誘導/リダイレクトするスクリプト)を仕掛け、遷移先で個人情報を抜き取るなどの攻撃をさします。

XSSをもう少し細かく分けると、格納型XSS、DOMベースXSSなどに分けることができます。

格納型XSSは、WEBページ側に悪意のあるスクリプトを仕込んでおく手法です。WEBページがリクエストを適切に処理せずレスポンスを返すことで、アクセスするユーザすべてに攻撃をします。

DOMベースXSSは、クライアント側で処理を実行するときに悪意のあるコードが混入することで攻撃を受ける形態です。主に動的にHTMLを生成するJava Scriptで発生することが多いです。

ア

格納型XSSです。

イ

Java Scriptはクライアント側で処理されるコードなので、DOMベースXSSと判断できます。

ウ

大量のリクエストを送りつけて、対象のサービスを利用不能にするのはDoS(Denial of Service)攻撃です。この選択肢では「複数のPCを乗っ取って」いるので、DDoS(Distributede Denial of Service)攻撃であることがわかります。

エ

送信元を偽装したリクエストを用いて、攻撃対象に大量のDNSレスポンスを送りつける攻撃はDNSリフレクション攻撃やDNSアンプ攻撃と呼ばれます。

関連記事