攻撃の検出と防御の方法

自動SQLインジェクション攻撃への新たな防御戦術

今日のSQLインジェクション攻撃について説明するとともに、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。

公開 2008年07月16日 07時30分

更新 2012年09月04日 18時50分

著者

Michael Cobb

[TechTarget]

印刷する

　SANS InstituteのInternet Storm Centerのアナリストらは最近、SQLインジェクションに対して脆弱なWebサイトを見つけ出して攻撃するプロセスを自動化するツールを発見した。このプロセスの自動化は、正規のサイトの一部を利用してマルウェアをホスティングし、配信するテクニックがますます一般化しつつある状況を示すものだ。

　本稿では、SQLインジェクション攻撃について説明した上で、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。

従来のSQLインジェクション攻撃

　SQLインジェクション攻撃自体は決して新しいものではない。例えば、有名な2003年のケースでは、アパレル企業GuessのWebサイトがSQLインジェクション攻撃を受けた結果、情報が流出して政府主導による法的和解に至った。当時の裁判資料は、SQLインジェクションについて「標準のWebブラウザのアドレス（URL）バーに攻撃者が特定の文字を入力することにより、WebサイトをサポートするデータベースやWebサイトに接続したデータベースから情報を取得するようアプリケーションに指示する」と記述している。裁判では、攻撃者がアプリケーションを操作して、guess.comのデータベース内のあらゆるテーブルのデータ（平文のまま）にアクセスできるようにしたことが明らかになった。これらのデータには、顧客のクレジットカード情報も含まれていた。

　センシティブなデータを流出させた企業が責任を問われるのは、以前も今も変わらない。最近のSQLインジェクション攻撃で目新しい点は、攻撃が自動化されていることと、攻撃が大規模化していることだ。

進化していたSQLインジェクション攻撃

　技術的な視点から見れば、今日のSQLインジェクション攻撃者は、脆弱なWebサイトを見つけ出そうとする姿勢が徹底しているのが特徴だ。また、攻撃プロセスを迅速化するためにさまざまなツールが利用されている。一例として、スパムボットネット（ウイルスメールを大量に送り付けるために構築されたボットネット）によって広範囲にばらまかれたトロイの木馬「Asprox」を取り上げてみよう。SecureWorksの上席セキュリティ研究員、ジョー・スチュアート氏によると、その仕組みは以下の通りだ。

スパムメールによってトロイの木馬がインストールされる（スパム自体も侵入されたホストから送信される）
トロイの木馬に感染したPCがバイナリファイルをダウンロードする。このプログラムが起動すると、Googleを利用して潜在的に脆弱なWebサイトを検索する。対象となるのは、Microsoft Active Server Pagesで作成されたフォームを使用する正規サイトだ。この検索結果がSQLインジェクション攻撃のターゲットリストとなる
トロイの木馬はこれらのサイトにSQLインジェクション攻撃を仕掛け、その一部に侵入を果たす
侵入されたサイトにアクセスしたユーザーは、ほかのサイトから不正なJavaScriptコードをダウンロードするように仕向けられる
そのコードはユーザーを第3のサイトに誘導する。そのサイトには、Asproxや「Danmec」（パスワードを盗むトロイの木馬）など、さらに多くのマルウェアがホスティングされている

　これらのステップは、この5年間で攻撃手法が大きく様変わりしたことを示している。従来、Webアプリケーション開発者は、SQLインジェクションの脆弱性が発見され、不正に侵入されるわずかな可能性に備えてテストを行い、パッチを当てる必要があるといわれてきた。しかし最近の攻撃を見れば、脆弱性が見つけ出され、不正侵入を受ける可能性がはるかに高くなったことが分かる。このため、開発者はコードの配備に先立って徹底的にテストを行うとともに、新たな欠陥が報告されたら直ちにパッチを当てなければならない。

Webサイトへの攻撃を検知する方法

　自社のサイトからマルウェアがばらまかれるのを喜ぶ企業はいない。では、自社のサイトが侵入を受けたことをどうやって知ればいいのだろうか。奇妙なことに、その答えもGoogleから通知される可能性がある。stopbadware.orgプロジェクトの主要メンバーであるGoogleは、Webサイトに「バッドウェア」（スパイウェア、マルウェア、詐欺的なアドウェアの総称）が含まれていないか監視している。これは、ハッキングツールが攻撃と防御の両方に役立つことを示している。GoogleはWebクローラーが問題を検出したサイトのドメインにおいて、以下の文字が含まれる電子メールアドレスにバッドウェアアラート（警告）を自動的に送信する。

abuse@
admin@
administrator@
contact@
info@
postmaster@
support@
webmaster@

　もちろん、企業はこれらのメッセージを受け取れるよう準備しておかなければならない。これは簡単なように思えるかもしれない。しかし、これらのアドレスがスパムフィルタに引っ掛かる可能性もあれば、指定された受信者がいないために、メッセージが読まれないままになってしまうこともある。すべての社内ドメインの通信記録を分類・チェックすることが、この新種の攻撃に対処するための最初のステップだ。抜け目ないセキュリティのプロフェッショナルであれば、こういった攻撃に関するニュースを利用して、徹底したサイト検査のための追加リソースを確保しようと考えるかもしれない。

　この5年間におけるWeb上の活動の爆発的増加は、多数の「失われた」サイトを生み出した。これらは、いったん立ち上げられたものの、その後できちんと終了せずに放棄されたプロジェクトのサイトである。残念ながら、執拗（しつよう）なGoogleのWebクローラーはこうしたサイトも見つけ出す。これらが潜在的なターゲットであれば、いずれ攻撃されることになるのだ。しかし幸いにも、企業は自社のWebサイトがバッドウェア問題を抱えているかどうかを事前に判断できる。どのようなサイトでも、無償の「Google Webmaster Tools」を使ってチェックすることができるのだ。

　Googleに頼りたくないという企業は、自社サイトの徹底検証を実施すべきである。これに役立つツールも幾つか出回っている。例えば、Xenuの無償プログラム「Link Sleuth」は、サイトのすべてのリンクをチェックし、さまざまなエラーを報告してくれる。本番用サイトをテストするとともに、社内ネットワークの外にあるマシンからチェックを実行するのを忘れないように。さもないと、問題を見逃してしまう恐れがある。

新たな攻撃に備えるには

　さらに一歩進んだ事前予防的対策として、AcunetixやSPI Dynamics（現在はHewlett-Packardの子会社）などのベンダーが提供するWeb脆弱性スキャナを導入するのもいいだろう。優れたWeb脆弱性スキャナ（ネットワークスキャナと混同しないように）は、企業のWebサイト上で、現在知られているすべてのSQLインジェクション脆弱性を検出することができる。新しい脆弱性が発見された時点でそれを検出できるよう、スキャナを最新の状態に維持することも大切だ。

　もちろんSQLインジェクション攻撃に対して防御するだけでは十分とはいえない。攻撃者たちはターゲットを求めて、自動化された検索を組織的に行い、攻撃を実行しているのだ。これらの手法が、SQLだけでなくWebインフラのそのほかの脆弱性に適用されることも十分にあり得る。

　今日、Webアプリケーション配備プロセスのすべての段階における確実なコードレビュー、そして本番配備前のセキュリティテストが、以前にも増して重要になっている。そして配備後も、脆弱性スキャナやサイト監視などによってさらに防御を強化する必要がある。

本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、Cobweb Applicationsの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として『IIS Security』があり、主要なIT出版物に多くの技術記事を寄稿している。

印刷する