SC情報システムの企画・設計・開発・運用でのセキュリティ確保の推進又は支援に関すること · セキュアプログラミング

エスケープ処理

Escape Processing

えすけーぷしょり

HTMLやSQL、OSコマンドなどにおいて特別な意味を持つ文字（メタ文字）を無害な文字列に変換する処理。XSS対策では「<」「>」「&」「"」などをHTMLエンティティに変換し、SQLインジェクション対策ではシングルクォートなどをエスケープする。出力先のコンテキストに応じた適切なエスケープが重要。

共有:

Past Exams

過去問での出題

過去問で 9 回出題（情報処理安全確保支援士試験 5・基本情報技術者試験 2・情報セキュリティマネジメント試験 1・システムアーキテクト試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

外部から受け取るデータが期待される形式・範囲・長さであることを検証する処理。ホワイトリスト方式（許可する値のみ受け入れ）が推奨される。Webアプリケーションにおけるインジェクション系攻撃の根本的対策の一つであり、サーバ側での検証が必須となる。

Webブラウザに対して、ページ内で読み込み可能なリソースの提供元を制限するHTTPレスポンスヘッダ。スクリプト、スタイルシート、画像などのリソース種別ごとに許可するオリジンを指定でき、XSS攻撃やデータインジェクション攻撃の影響を軽減する。

WebサーバからブラウザにHTTPS接続を強制するHTTPレスポンスヘッダ。一度HSTSヘッダを受信したブラウザは、指定期間中は当該サイトへの接続を自動的にHTTPSに切り替え、中間者攻撃やSSLストリッピングを防止する。

アクセス先のURLをカテゴリや評価情報に基づいて許可・遮断する仕組み。マルウェア配布サイトやフィッシングサイトへの接続を防ぎ、業務に不要なサイトの利用も制限できる。Webフィルタリングとも呼ばれる。

通信の内容そのものを検査し、有害な情報や機密情報の送受信を遮断する仕組み。URL単位ではなくページ内のキーワードやファイル種別で判定するため、未分類のサイトにも対応できる。

プロキシサーバを経由して外部へアクセスする際に利用者認証を求める仕組み。誰がどのサイトへアクセスしたかをログに残せるため、追跡性の確保と不正利用の抑止に役立つ。