HttpOnlyを設定しても、XSSが被害者のブラウザー上でAPIを呼び出す可能性は残ります。

WAF・IPS・EDRによる補助対策

WAF

WAFは次の用途で役立ちます。

• 既知のXSSパターンの検知

• 緊急時の仮想パッチ

• 異常なエンコードの検知

• 大量スキャンの遮断

• 特定パラメーターへの制限

ただし、次の攻撃は苦手です。

• DOM-only XSS

• localStorageをSourceとするXSS

• Script Gadget

• DOM Clobbering

• Prototype Pollution経由

• mXSS

• 正常なHTMLに見える入力

• アプリケーション固有テンプレート式

OWASPも、WAFやHTTPインターセプターへの依存は、DOM-based XSSを防げない場合があると説明しています。

IPS

ネットワークIPSは、既知の攻撃パターンや異常通信を検知できます。

しかし、URLフラグメントのようにサーバーへ送信されないデータだけで成立するDOM XSSは、ネットワーク上で観測できない場合があります。

IPSは補助対策です。

EDR

EDRは、XSSそのものよりも、XSS後の不審動作を検知できる可能性があります。

例は次のとおりです。