クリックジャッキングの対策

クリックジャッキング（Clickjacking）攻撃は、悪意のあるWebページ上に透明な「iframe」要素を配置して標的のサイト（利用者がログイン済みのSNSなど）を重ねて表示し、利用者が気づかないうちに悪意のあるページ上のボタンをクリックしたと見せかけて、実際には透明な標的サイトのボタン（退会ボタンや送金ボタンなど）をクリックさせる攻撃です。 対策として、WebサーバのHTTPレスポンスヘッダに X-Frame-Options を設定し、自サイトが他のドメインのサイトからiframe等で読み込まれることを拒否（DENY）または同一ドメインに制限（SAMEORIGIN）することが有効です。 各選択肢の解説： ア：HttpOnly属性は、JavaScriptからのCookieへのアクセスを禁止し、クロスサイトスクリプティング（XSS）によるCookieの盗聴を防ぐ対策です。 イ：Secure属性は、HTTPS通信時のみCookieを送信させることで、平文通信時の盗聴を防ぐ対策です。 ウ：Strict-Transport-Security（HSTS）は、次回以降のアクセスを常にHTTPS接続に強制する対策です。

クリックジャッキング攻撃に有効な対策はどれか。

出典令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11
ア
cookieに、 HttpOnly 属性を設定する。
イ
cookieに、 Secure 属性を設定する。
ウ
HTTP レスポンスヘッダーに、Strict-Transport-Security を設定する。
エ
HTTP レスポンスヘッダーに、 X-Frame-Options を設定する。