米調査に見るWebサイト攻撃のリスク

Web攻撃を受ける企業に共通するセキュリティ対策の誤り

ここ数年、企業のネットワークへの侵入方法を探す攻撃者にとって、Webアプリケーションが格好のターゲットとなっている。

公開 2011年03月07日 09時00分

更新 2012年09月04日 15時58分

著者

Robert Westervelt

[TechTarget]

印刷する

　2月8日に発表された新たな調査結果によると、セキュリティ対策が不十分なWebアプリケーションは組織に深刻なセキュリティリスクをもたらしており、Webサイト攻撃は企業にとって最大の懸念の1つになっているという。

　この調査は、セキュリティベンダーの米Barracuda Networksと米Cenzicに委託されて、米調査会社Ponemon Instituteが実施したもの。ITとITセキュリティの担当者637人を対象に、Webアプリケーションのセキュリティに対する意識が調査された。その結果によると、Webアプリケーションのセキュリティがその他のセキュリティ問題と比べて「同程度に重要」または「より重要」と答えた回答者が全体の74％を占めた。一方で、セキュリティ対策の不十分なWebアプリケーションを社内のエンドユーザーが使用することに関して「十分なガバナンスとポリシーを確立している」と答えた回答者はわずか36％にとどまっている。

「9割以上が業務中にも利用」　Twitter、Facebook中毒者の実態

従業員のソーシャルメディア利用をどう管理するか

アドネットワークを利用するマルウェアの出現──対策の切り札とは？

　ここ数年、企業のネットワークへの侵入方法を探す攻撃者にとって、Webアプリケーションは格好のターゲットとなっている。Webアプリケーションの脆弱性を探しやすくする自動ツールキットの存在が、攻撃を増大させているのだ。調査結果によると、Webサイトの脆弱性を狙った攻撃は今や一般的なものになっており、「セキュリティの不十分なWebアプリケーションがハッキング攻撃を受けたことが、過去2年間に少なくとも一度はある」と答えた回答者が全体の73％に上っている。

　攻撃を追跡しているセキュリティベンダーや、Webアプリケーションのセキュリティを専門としている企業の調査によると、攻撃者が標的としている脆弱性のタイプは昔と変わらないようだ。Webアプリケーションの問題のうち、最も一般的なのはSQLインジェクションエラー、2番目以降はクロスサイトスクリプティング（XSS）エラー、入力検証エラー、コードインジェクションエラーと続いている。米SANS Instituteはソフトウェアの脆弱性を招く「最も危険なコードエラーのトップ25」リストを発表し、プログラミングエラーを避けるためにより高品質なソフトウェア開発を目指すよう呼び掛けている。

　Ponemon Instituteの調査では、回答者が懸念しているセキュリティ問題のトップは「Webサイト攻撃」で、その後に「ネットワークレイヤー攻撃」「デスクトップPCやノートPCなど、ネットワークに接続された端末を経由した社内ネットワークへの侵入の試み」と続いている。また回答者の半数以上（53％）は、「Webアプリケーションのセキュリティ管理はWebホスティングプロバイダーに頼っている」と答えている。

　「Webアプリケーションを自社でテストしないのは、主に予算と経験が不足しているからだ」と調査報告書には記されている。

　攻撃を受けた場合の経済的損失については、47％の回答者が「10万～50万ドルの範囲」と推定しており、平均で25万5000ドルとなっている。「ITの担当者は、攻撃を受けた場合のコストが高くつく可能性をよく理解している。機密データの流出、規制への不順守に対する罰金、業務の混乱などによる損失が考えられるからだ」と調査報告書には記されている。

　さらに調査結果によると、回答者は社内でネットワークファイアウォールを使用し、ペネトレーションテスト（侵入検査）も実施しているようだ。もっとも、セキュリティ専門家によると、Webアプリケーションに対する攻撃をネットワークファイアウォールで防御できるというのは誤った認識で、Webアプリケーションファイアウォールや脆弱性スキャニングの方がより効果的だという。

なぜ複数のファイアウォールが必要なのか

読めば分かる！　次世代ファイアウォール

【連載】Webサイトを保護する「WAF」製品紹介

　半数以上の回答者は、「Webアプリケーションの脆弱性スキャニングを実施して、カスタムアプリケーションとアウトソースアプリケーションをテストした」と答えている。ただし調査では、そうしたアプリケーションは主に開発段階でテストされていることが分かっている。「稼働中のアプリケーションに対してテストをしている」と答えた回答者は、わずか13％だった。

　Webアプリケーションのセキュリティを重視する理由として最も多く挙げられたのは、「データ保護」と「コンプライアンス」だ。専門家によると、Webアプリケーションの保護に使われるWebアプリケーションファイアウォールなどのツールの中には、クレジットカード情報保護の国際セキュリティ基準である「PCI DSS」に準拠したものもあるという。

印刷する