HTTPレスポンスヘッダX-Frame-OptionsパラメーターとStrict-Transport-Securityパラメーターをテーマとしたネットワークスペシャリスト試験問題20問

 では続きとして X-Frame-Options と Strict-Transport-Security をテーマに、それぞれ10問ずつ作成します。

---

6. X-Frame-Options（10問）

問題1

X-Frame-Options ヘッダの主な目的はどれか。

A. ページのキャッシュ制御

B. クリックジャッキング防止

C. スクリプトの圧縮

D. MIMEタイプ推測無効化

正解: B

解説: X-Frame-Options は他サイトのiframeによるページ埋め込みを制御し、クリックジャッキングを防ぐ。

穴埋め: X-Frame-Options は ________ を防ぐ。 → クリックジャッキング

誤文訂正: X-Frame-Options はキャッシュを制御する。→ 正しくはクリックジャッキング防止。

---

問題2

X-Frame-Options の設定値 DENY の意味はどれか。

A. 自サイトからの埋め込みを許可

B. 全ての埋め込みを禁止

C. 特定ドメインのみ許可

D. すべての外部スクリプトを拒否

正解: B

解説: DENY はすべてのiframe埋め込みを禁止する。

穴埋め: DENY は ________ を禁止する。 → 全ての埋め込み

誤文訂正: DENY は自サイトからの埋め込みを許可。→ 正しくは全て禁止。

---

問題3

SAMEORIGIN 設定の意味はどれか。

A. どこからでも埋め込み可能

B. 同一オリジンからのみ埋め込み許可

C. 埋め込みを全て禁止

D. スクリプト実行のみ許可

正解: B

解説: SAMEORIGIN は同一オリジンからの埋め込みのみを許可する。

穴埋め: SAMEORIGIN は ________ からのみ許可。 → 同一オリジン

誤文訂正: SAMEORIGIN は全ての埋め込みを許可。→ 正しくは同一オリジンのみ許可。

---

問題4

ALLOW-FROM 設定で正しい記述はどれか。

A. 任意のURLを指定できる

B. 1つのオリジンのみ指定可能

C. 複数オリジンを指定できる

D. すべてのオリジンを許可する

正解: B

解説: ALLOW-FROM は1つのオリジンのみ許可できる。

穴埋め: ALLOW-FROM は ________ オリジンのみ許可可能。 → 1つの

誤文訂正: ALLOW-FROM は複数オリジンを許可可能。→ 正しくは1つのみ。

---

問題5

X-Frame-Options が有効な場合、攻撃者が行えなくなる手法はどれか。

A. クリックジャッキング

B. SQLインジェクション

C. ARPスプーフィング

D. DDoS攻撃

正解: A

解説: iframe経由のUIトリックによるクリックジャッキングを防げる。

穴埋め: X-Frame-Options は ________ を防ぐ。 → クリックジャッキング

誤文訂正: X-Frame-Options はDDoS攻撃を防ぐ。→ 正しくはクリックジャッキング。

---

問題6

X-Frame-Options の設定はどの層で行うか。

A. アプリケーション層

B. ネットワーク層

C. データリンク層

D. 物理層

正解: A

解説: HTTPレスポンスヘッダで指定するためアプリケーション層に属する。

穴埋め: X-Frame-Options は ________ 層で設定する。 → アプリケーション

誤文訂正: ネットワーク層で設定する。→ 正しくはアプリケーション層。

---

問題7

クリックジャッキングは何を悪用する攻撃か。

A. ネットワーク遅延

B. ユーザインタフェースの透明性

C. DNSキャッシュ

D. TCPシーケンス番号

正解: B

解説: 透明なiframeや重ね合わせによるUIの誤誘導を利用する。

穴埋め: クリックジャッキングはUIの ________ を悪用。 → 透明性

誤文訂正: クリックジャッキングはDNSキャッシュを悪用。→ 正しくはUI透明性。

---

問題8

X-Frame-Options が推奨されるページはどれか。

A. ログインページ

B. 静的画像ページ

C. 音声配信ページ

D. 動画配信ページ

正解: A

解説: ログインフォームや重要操作ページでクリックジャッキング防止が重要。

穴埋め: X-Frame-Options は ________ ページに推奨される。 → ログイン

誤文訂正: 静的画像ページに推奨される。→ 正しくはログインページ。

---

問題9

X-Frame-Options に代わって推奨される新しい仕様はどれか。

A. CSPのframe-ancestors

B. CSPのscript-src

C. HSTS

D. Referrer-Policy

正解: A

解説: frame-ancestorsはCSPのディレクティブでiframe埋め込みを制御する。

穴埋め: 新しい仕様はCSPの ________。 → frame-ancestors

誤文訂正: 新しい仕様はHSTS。→ 正しくはCSPのframe-ancestors。

---

問題10

X-Frame-Options が未設定の状態で懸念される脆弱性はどれか。

A. クリックジャッキング

B. XSS

C. CSRF

D. SQLインジェクション

正解: A

解説: iframe埋め込みを制御しないとクリックジャッキングのリスクが高まる。

穴埋め: 未設定だと ________ のリスクが高まる。 → クリックジャッキング

誤文訂正: 未設定だとSQLインジェクションのリスクが高まる。→ 正しくはクリックジャッキング。

---

7. Strict-Transport-Security（10問）

問題1

Strict-Transport-Security（HSTS）の目的はどれか。

A. HTTPS接続の強制

B. HTTPの速度向上

C. TCP接続数の制限

D. Cookieサイズ制御

正解: A

解説: HSTSはブラウザにHTTPS接続を強制し、HTTPへのダウングレードを防ぐ。

穴埋め: HSTSは ________ を強制する。 → HTTPS接続

誤文訂正: HSTSはHTTPの速度を向上させる。→ 正しくはHTTPS接続を強制。

---

問題2

HSTSの有効期限を指定するディレクティブはどれか。

A. max-age

B. expires

C. timeout

D. ttl

正解: A

解説: max-age はHSTSの有効期間を秒単位で指定する。

穴埋め: HSTS有効期間は ________ で指定する。 → max-age

誤文訂正: HSTS有効期間はexpiresで指定する。→ 正しくはmax-age。

---

問題3

HSTSのプリロードとは何か。

A. HTTPS証明書を事前に送る

B. ブラウザにドメインを事前登録してHTTPSを強制

C. HTTP接続を先に試す

D. キャッシュを事前に読み込む

正解: B

解説: プリロードはブラウザにあらかじめHTTPS強制対象のドメインを登録する仕組み。

穴埋め: プリロードはブラウザに ________ を事前登録する。 → HTTPS強制対象ドメイン

誤文訂正: プリロードはHTTP接続を先に試す。→ 正しくは事前登録。

---

問題4

HSTSを設定しても防げない攻撃はどれか。

A. HTTPSダウングレード攻撃

B. 中間者攻撃（HTTPへの誘導）

C. HTTPS証明書の盗難

D. 初回アクセス時のHTTP接続

正解: C

解説: 証明書自体の盗難はHSTSでは防げない。

穴埋め: HSTSでは ________ の盗難は防げない。 → HTTPS証明書

誤文訂正: HSTSではHTTPSダウングレード攻撃は防げない。→ 正しくは防げる。

---

問題5

HSTS設定でサブドメインにも適用するにはどのディレクティブを使うか。

A. includeSubDomains

B. subDomain

C. applySub

D. allowSubDomains

正解: A

解説: includeSubDomainsを指定するとサブドメインにも適用される。

穴埋め: サブドメイン適用は ________ を指定する。 → includeSubDomains

誤文訂正: サブドメイン適用はallowSubDomainsを指定する。→ 正しくはincludeSubDomains。

---

問題6

HSTSが有効化されている場合、ブラウザはどの接続を行わないか。

A. HTTP

B. HTTPS

C. FTP

D. SMTP

正解: A

解説: HSTS有効時はHTTP接続を拒否し、必ずHTTPSを使用する。

穴埋め: HSTS有効時は ________ 接続を行わない。 → HTTP

誤文訂正: HSTS有効時はHTTPS接続を行わない。→ 正しくはHTTP接続。

---

問題7

HSTSのセキュリティ上の利点はどれか。

A. HTTPSへのダウングレード防止

B. TCP接続数増加

C. HTTP/3対応

D. キャッシュ効率化

正解: A

解説: HSTSは中間者攻撃によるHTTPダウングレードを防ぐ。

穴埋め: HSTSは ________ を防ぐ。 → HTTPSダウングレード

誤文訂正: HSTSはTCP接続数を増やす。→ 正しくはダウングレード防止。

---

問題8

HSTSが効果を発揮するために必要な前提条件はどれか。

A. 初回接続がHTTPSであること

B. 初回接続がHTTPであること

C. TCP接続であること

D. IPv6であること

正解: A

解説: HSTSは初回がHTTPSでなければ設定がブラウザに伝わらない。

穴埋め: HSTSは初回接続が ________ である必要がある。 → HTTPS

誤文訂正: HSTSは初回接続がHTTPである必要がある。→ 正しくはHTTPS。

---

問題9

HSTSの設定例で正しいものはどれか。

A. Strict-Transport-Security: max-age=31536000; includeSubDomains

B. Strict-Transport-Security: 1year; allSubDomains

C. Strict-Transport-Security: secure

D. HSTS: enabled

正解: A

解説: 正しい構文はmax-ageとオプションでincludeSubDomainsを指定する。

穴埋め: HSTSの正しい設定例は ________。 → Strict-Transport-Security: max-age=31536000; includeSubDomains

誤文訂正: HSTS: enabled が正しい。→ 正しくはStrict-Transport-Securityヘッダ。

---

問題10

HSTS未設定のサイトで発生する可能性が高い脅威はどれか。

A. HTTPSダウングレード攻撃

B. DNSポイズニング

C. CSRF

D. SQLインジェクション

正解: A

解説: 未設定ではHTTPへのダウングレードを許す可能性がある。

穴埋め: HSTS未設定では ________ 攻撃の危険がある。 → HTTPSダウングレード

誤文訂正: HSTS未設定ではSQLインジェクションの危険がある。→ 正しくはHTTPSダウングレード。

---

このあと X-XSS-Protection（10問） を作れば、最初に求められた 80問セット が完成します。

続けますか？