情報セキュリティマネジメント 令和5年度 科目A 問7

✓ これが正解イ SQLインジェクションを防ぐために，Webアプリケーション内でデータベースへの問合せを作成する際にプレースホルダを使用する。

解説

SQLインジェクション対策はプレースホルダの利用です。

この設問は、脅威と対策の組合せが正しいかを見るものです。SQLインジェクションは、入力された文字列がそのままSQL文の一部として解釈されてしまうことで起きます。プレースホルダを使うと、問合せの骨組みを先に決めて、入力は値としてはめ込むだけになるので、入力が命令として働く余地がなくなります。だからこの組合せが正しいものです。ほかの三つは、脅威に対して別の脅威向けの対策を当てているので、組合せとして噛み合っていません。

ほかの選択肢の解説

• ア OSコマンドインジェクションを防ぐために，Webアプリケーションが発行するセッションIDに推測困難な乱数を使用する。：セッションIDに推測困難な乱数を使うのは、セッションを乗っ取られないための対策です。OSコマンドインジェクションを防ぐ手立てではないので、組合せが噛み合っていません。
• ウ クロスサイトスクリプティングを防ぐために，Webサーバ内のファイルを外部から直接参照できないようにする。：Webサーバ内のファイルを外部から直接参照できないようにするのは、ディレクトリトラバーサルのように公開すべきでないファイルへ直接たどり着かれる攻撃を防ぐ対策です。クロスサイトスクリプティングを防ぐのは出力時のエスケープ処理なので、組合せが噛み合っていません。
• エ セッションハイジャックを防ぐために，Webアプリケーションからシェルを起動できないようにする。：Webアプリケーションからシェルを起動できないようにするのは、OSコマンドインジェクションへの対策です。セッションハイジャックを防ぐものではないので、組合せが入れ替わっています。