解説

クリックジャッキング攻撃は、悪意のあるサイトに透明な（不可視の）フレームとして正規サイトを重ね、ユーザが意図せず正規サイト上のボタンや操作をクリックさせる攻撃です。例えば、「ここをクリック」と表示された悪意サイトのボタンの上に、透明な正規SNSの「購入」ボタンを重ねることで、ユーザが知らずに正規サイト上の操作を実行させられます。この攻撃への対策として有効なのはHTTPレスポンスヘッダにX-Frame-Optionsを設定することです。X-Frame-Optionsに「DENY」を設定すると、そのページがiframe等のフレーム内に表示されなくなります。「SAMEORIGIN」に設定すると同一オリジンのみフレーム内表示を許可します。

なぜ他の選択肢は違うのか

選択肢 ア

HttpOnly属性はcookieをJavaScriptからアクセスできなくするための設定で、XSS（クロスサイトスクリプティング）攻撃によるcookie窃取を防ぐ対策です。クリックジャッキングはJavaScriptでcookieを盗む攻撃ではなく、フレームを利用した視覚的な騙しの攻撃であるため、HttpOnly属性は有効な対策ではありません。

選択肢 イ

Secure属性はcookieをHTTPS接続のみで送信するよう制限するための設定で、HTTP通信での盗聴によるcookie漏洩を防ぐ対策です。クリックジャッキングの攻撃手法（フレームを使った視覚的騙し）とは無関係であり、有効な対策ではありません。

選択肢 ウ

Strict-Transport-Securityヘッダ（HSTS）は、ブラウザに対して指定期間内は常にHTTPSで接続するよう強制します。HTTPからHTTPSへのダウングレード攻撃やSSLストリッピング攻撃への対策です。クリックジャッキングとは関係がなく、有効な対策ではありません。

解くときのポイント

クリックジャッキング対策＝X-Frame-Options（DENY/SAMEORIGIN）またはCSPのframe-ancestors。フレーム内表示を禁止する。