解説

セッション乗っ取りを防ぐためのログアウト処理として、最も重要な対策はWebサーバ側でセッションIDを無効化（削除・失効）することです。セッションIDはサーバ側で管理されており、ログアウト後にそのIDが盗用されても、サーバ側で無効化されていれば不正利用できません。Webブラウザ側でのクッキー削除だけでは、攻撃者がすでにセッションIDを取得していた場合に防御できません。したがって選択肢bの「WebサーバにおいてセッションIDを無効にする」が正しい対策です。なお、セッション固定攻撃対策としてはログイン時に新しいセッションIDを発行することも重要です。

なぜ他の選択肢は違うのか

選択肢 ア

「WebサーバにおいてセッションIDを内蔵ストレージに格納する」はセッション状態の永続化であり、乗っ取り防止とは逆の効果（長期間有効なセッションの維持）をもたらす恐れがあります。

選択肢 ウ

「WebブラウザにおいてキャッシュしているWebページをクリアする」はプライバシー保護・情報漏洩防止に役立ちますが、セッションID自体の無効化にはなりません。攻撃者がすでにIDを入手していれば意味がありません。

選択肢 エ

「WebブラウザにおいてセッションIDを内蔵ストレージに格納する」はログアウト後もブラウザ内にセッションIDが残ることになり、セキュリティ上問題があります。ローカルストレージへの保存は乗っ取り防止策ではありません。

解くときのポイント

ログアウト処理の必須対策＝「サーバ側でセッションIDを無効化」。ブラウザ側のクッキー削除は補助的対策。「すでに盗まれたIDをサーバで拒否する」発想が重要。加えてHTTPS・セキュアフラグ・HttpOnly属性の設定もセッション管理の重要ポイント。