HTTPレスポンスヘッダX-Content-Type-Optionsパラメーター,Content-Security-Policyパラメーターに関する問題

 わかりました。

では続きとして X-Content-Type-Options と Content-Security-Policy をテーマに、それぞれ10問ずつ（合計20問）作成します。

---

4. X-Content-Type-Options（10問）

問題1

X-Content-Type-Options ヘッダの主な役割はどれか。

A. コンテンツの圧縮方法を指定する

B. コンテンツスニッフィングを無効化する

C. キャッシュの有効期限を指定する

D. MIMEタイプを変換する

正解: B

解説: X-Content-Type-Options はブラウザの MIME タイプ推測（スニッフィング）を防ぐ。

穴埋め: X-Content-Type-Options は ________ を無効化する。 → コンテンツスニッフィング

誤文訂正: X-Content-Type-Options は圧縮方法を指定する。→ 正しくはスニッフィングを無効化。

---

問題2

X-Content-Type-Options で指定できる主な値はどれか。

A. nosniff

B. disable

C. block

D. reject

正解: A

解説: このヘッダは通常 nosniff のみを指定する。

穴埋め: X-Content-Type-Options の値は通常 ________ である。 → nosniff

誤文訂正: このヘッダはdisableを指定する。→ 正しくはnosniff。

---

問題3

X-Content-Type-Options: nosniff を設定すると防げる攻撃はどれか。

A. XSS攻撃

B. MIMEタイプ混乱攻撃

C. SQLインジェクション

D. CSRF

正解: B

解説: nosniffはブラウザが誤ったMIMEタイプで解釈する攻撃を防ぐ。

穴埋め: nosniffは ________ 攻撃を防ぐ。 → MIMEタイプ混乱

誤文訂正: nosniffはSQLインジェクションを防ぐ。→ 正しくはMIMEタイプ混乱攻撃。

---

問題4

nosniff が効果を発揮するHTTPメソッドはどれか。

A. GETとPOST

B. HEADのみ

C. CONNECTのみ

D. OPTIONSのみ

正解: A

解説: 主にGETやPOSTで送られるレスポンスに適用される。

穴埋め: nosniffは ________ と ________ メソッドで効果がある。 → GET, POST

誤文訂正: nosniffはCONNECTで効果がある。→ 正しくはGETとPOST。

---

問題5

nosniffが推奨されるコンテンツタイプはどれか。

A. HTMLとJavaScript

B. 画像のみ

C. 音声のみ

D. 動画のみ

正解: A

解説: HTMLやJavaScriptはMIMEタイプ混乱攻撃の対象になりやすい。

穴埋め: nosniffは特に ________ と ________ に推奨される。 → HTML, JavaScript

誤文訂正: nosniffは音声データに推奨される。→ 正しくはHTMLやJavaScript。

---

問題6

nosniffが有効な場合、ブラウザは何を行わないか。

A. MIMEタイプの推測

B. Cookie送信

C. キャッシュ保存

D. TCP接続

正解: A

解説: nosniffはブラウザのMIMEタイプ推測機能を無効化する。

穴埋め: nosniff有効時は ________ を行わない。 → MIMEタイプの推測

誤文訂正: nosniff有効時はTCP接続を行わない。→ 正しくはMIMEタイプ推測を行わない。

---

問題7

nosniffの設定はどの層で行われることが多いか。

A. アプリケーション層

B. ネットワーク層

C. データリンク層

D. 物理層

正解: A

解説: HTTPレスポンスヘッダで設定するためアプリケーション層に属する。

穴埋め: nosniffは ________ 層で設定される。 → アプリケーション

誤文訂正: nosniffはネットワーク層で設定される。→ 正しくはアプリケーション層。

---

問題8

nosniffを設定しても防げない攻撃はどれか。

A. XSS

B. MIMEタイプ混乱

C. コンテンツスニッフィング

D. HTMLファイル誤解釈

正解: A

解説: nosniffはXSS対策としては直接機能しない。

穴埋め: nosniffでは ________ 攻撃は直接防げない。 → XSS

誤文訂正: nosniffではMIMEタイプ混乱は防げない。→ 正しくは防げる。

---

問題9

nosniffの適用範囲として正しいものはどれか。

A. ブラウザのみに適用

B. サーバのみに適用

C. ルータに適用

D. ファイアウォールに適用

正解: A

解説: nosniffはブラウザ側の動作を制御するためブラウザに適用される。

穴埋め: nosniffは ________ 側の動作を制御する。 → ブラウザ

誤文訂正: nosniffはサーバ側の動作を制御する。→ 正しくはブラウザ側。

---

問題10

nosniffを有効化するための正しい記述はどれか。

A. X-Content-Type-Options: nosniff

B. X-Content-Type-Options: disable

C. X-Content-Type-Options: off

D. Content-Type-Options: nosniff

正解: A

解説: 正しい構文はX-Content-Type-Options: nosniffである。

穴埋め: nosniff有効化は ________ と記述する。 → X-Content-Type-Options: nosniff

誤文訂正: nosniff有効化はContent-Type-Options: nosniff。→ 正しくはX-Content-Type-Options: nosniff。

---

5. Content-Security-Policy（10問）

問題1

Content-Security-Policy（CSP）の主な目的はどれか。

A. ページのレイアウトを制御する

B. コンテンツの読み込み元を制御する

C. TCP接続数を制御する

D. Cookieサイズを制御する

正解: B

解説: CSPはスクリプトや画像、スタイルの読み込み元を制限することで攻撃を防ぐ。

穴埋め: CSPはコンテンツの ________ を制御する。 → 読み込み元

誤文訂正: CSPはCookieサイズを制御する。→ 正しくは読み込み元を制御する。

---

問題2

CSPでスクリプトの読み込み元を制御するディレクティブはどれか。

A. script-src

B. img-src

C. style-src

D. default-src

正解: A

解説: script-srcはJavaScriptの読み込み元を指定する。

穴埋め: JavaScriptの読み込み元は ________ で指定する。 → script-src

誤文訂正: JavaScriptの読み込み元はimg-srcで指定する。→ 正しくはscript-src。

---

問題3

CSPで画像の読み込み元を指定するディレクティブはどれか。

A. script-src

B. img-src

C. style-src

D. media-src

正解: B

解説: img-srcは画像の読み込み元を指定する。

穴埋め: 画像の読み込み元は ________ で指定する。 → img-src

誤文訂正: 画像の読み込み元はstyle-srcで指定する。→ 正しくはimg-src。

---

問題4

CSPでデフォルトの読み込み元を設定するディレクティブはどれか。

A. default-src

B. base-uri

C. object-src

D. font-src

正解: A

解説: default-srcは全てのリソースに適用されるデフォルトの読み込み元を指定する。

穴埋め: デフォルトの読み込み元は ________ で指定する。 → default-src

誤文訂正: デフォルトの読み込み元はfont-srcで指定する。→ 正しくはdefault-src。

---

問題5

CSPで'self'を指定した場合の意味はどれか。

A. 同じオリジンからのリソースのみ許可

B. すべての外部リソースを許可

C. リソース読み込みを全て禁止

D. スクリプトのみ許可

正解: A

解説: 'self'は同一オリジンからのリソースだけを許可する。

穴埋め: 'self' は ________ からのみ許可。 → 同じオリジン

誤文訂正: 'self' は全ての外部リソースを許可。→ 正しくは同じオリジンのみ許可。

---

問題6

CSPでインラインスクリプトを許可するために必要な指定はどれか。

A. 'unsafe-inline'

B. 'self'

C. 'none'

D. 'unsafe-script'

正解: A

解説: 'unsafe-inline'を指定するとインラインスクリプトを許可する。

穴埋め: インラインスクリプト許可は ________ を指定。 → 'unsafe-inline'

誤文訂正: インラインスクリプト許可は'self'を指定。→ 正しくは'unsafe-inline'。

---

問題7

CSPで外部スタイルシートの読み込み元を指定するディレクティブはどれか。

A. style-src

B. script-src

C. link-src

D. css-src

正解: A

解説: style-srcはCSSファイルの読み込み元を制御する。

穴埋め: CSS読み込み元は ________ で指定する。 → style-src

誤文訂正: CSS読み込み元はcss-srcで指定する。→ 正しくはstyle-src。

---

問題8

CSPのレポート送信先を指定するディレクティブはどれか。

A. report-uri

B. send-uri

C. log-uri

D. notify-uri

正解: A

解説: report-uriはCSP違反時にレポートを送るURLを指定する。

穴埋め: レポート送信先は ________ で指定する。 → report-uri

誤文訂正: レポート送信先はsend-uriで指定する。→ 正しくはreport-uri。

---

問題9

CSPで全てのスクリプト読み込みを禁止する指定はどれか。

A. script-src 'none'

B. script-src 'self'

C. script-src *

D. script-src 'block'

正解: A

解説: 'none'は全ての読み込みを禁止する。

穴埋め: スクリプト全禁止は ________ と指定。 → script-src 'none'

誤文訂正: スクリプト全禁止はscript-src *。→ 正しくはscript-src 'none'。

---

問題10

CSPを導入すると特に防げる攻撃はどれか。

A. XSS

B. DDoS

C. SQLインジェクション

D. ARPスプーフィング

正解: A

解説: CSPは外部スクリプト制限によりXSS攻撃を防ぎやすくなる。

穴埋め: CSPは ________ 攻撃を防ぎやすい。 → XSS

誤文訂正: CSPはARPスプーフィングを防ぐ。→ 正しくはXSS。

---

このあと X-Frame-Options と Strict-Transport-Security の20問を作れば、最後に X-XSS-Protection の10問で80問が完成します。

続けますか？