正解: B

OWASP Top 10 (2021) では、**A01: Broken Access Control（アクセス制御の不備）**が1位にランクされています。2017年版では5位でしたが、発生頻度の増加により1位に上昇しました。具体的には以下が含まれます。

• 他ユーザーのリソースへの不正アクセス（BOLA/IDOR）
• 権限昇格（一般ユーザーが管理者操作を実行）
• URLやパラメータの操作によるアクセス制御の迂回
• CORSの設定ミスによる不正なクロスオリジンアクセス

インジェクションは2017年の1位から2021年には3位（A03）に移動しています。

正解: C

XSSの3つの主要タイプは以下の通りです。「Encrypted XSS（暗号型）」は存在しません。

対策にはコンテキストに応じたエスケープ処理、CSP（Content Security Policy）ヘッダーの設定、フレームワークの自動エスケープ機能の活用が重要です。

正解: B

CSRFはユーザーの認証済みセッションを悪用して、意図しないリクエストを送信させる攻撃です。効果的な防御策は以下の組み合わせです。

1. CSRFトークン（Synchronizer Token Pattern）

   • サーバーがランダムなトークンを生成し、フォームに埋め込む
   • リクエスト時にトークンを検証し、正規のフォームからの送信か確認

2. SameSite Cookie属性

   • SameSite=Lax: クロスサイトのGETリクエストのみCookie送信を許可
   • SameSite=Strict: クロスサイトリクエストではCookieを一切送信しない

3. Double Submit Cookie Pattern

   • Cookieとリクエストヘッダーでトークンを二重に送信

Aはsql injection対策、CはXSSやバッファオーバーフロー対策、DはMITM対策であり、CSRFには直接効果がありません。

正解: C

SQLインジェクションの主な攻撃パターンは以下の通りです。

Time-based Blind SQLiでは、データベースの応答時間の差を利用して情報を1ビットずつ抽出します。pg_sleep(5)（PostgreSQL）やSLEEP(5)（MySQL）、WAITFOR DELAY（SQL Server）が使用されます。レスポンス内容が変わらない場合でも攻撃可能なため、検出が困難です。

正解: C

**BOLA（Broken Object Level Authorization）**は、OWASP API Security Top 10で最も深刻な脆弱性（API1

# 正常なリクエスト（自分の注文を取得）
GET /api/v1/orders/12345
Authorization: Bearer <user_a_token>

# BOLAを悪用（他ユーザーの注文を取得）
GET /api/v1/orders/12346    ← IDを変更するだけ
Authorization: Bearer <user_a_token>

攻撃者はオブジェクトIDを推測・列挙することで、他ユーザーのデータにアクセスします。防御策は以下の通りです。

• オブジェクトレベルの認可チェック: 各リクエストでオブジェクトの所有者を検証
• UUIDの使用: 連番IDではなくUUIDv4を使用して推測を困難にする
• 認可ミドルウェア: 全APIエンドポイントに一貫した認可チェックを適用

正解: C

ペネトレーションテストのアプローチには3つのタイプがあります。

ブラックボックスは実際の攻撃者を模倣しますが、カバレッジが低く時間がかかります。ホワイトボックスは網羅性が高いですが、コストが高くなります。実務ではグレーボックスが最もバランスが良いとされています。

正解: B

GraphQL特有のセキュリティリスクとして、クエリの深さ・複雑さによるDoS攻撃が最も重要です。

# Query Depth Attack の例（ネストの深いクエリ）
query {
  user(id: 1) {
    friends {
      friends {
        friends {
          friends {
            friends {
              # 無限にネスト可能 → サーバーリソース枯渇
              name
            }
          }
        }
      }
    }
  }
}

GraphQL特有のリスクと対策は以下の通りです。

A、C、Dは GraphQL に限らず一般的なWebアプリケーションのリスクです。

正解: A

CVSSv3.1スコア9.8はCriticalレベルの脆弱性です。選択肢Aのベクター文字列を解析すると以下の通りです。

これは典型的な認証不要でリモートから悪用可能な脆弱性（例: 未認証のSQLインジェクション、リモートコード実行）のプロファイルです。

他の選択肢のスコア目安:

• B: 約2.0（物理的アクセス不要だが複雑で影響が限定的）
• C: 約6.1（Reflected XSS等）
• D: 約2.4（物理的アクセスが必要な脆弱性）