攻撃の検出と防御の方法
自動SQLインジェクション攻撃への新たな防御戦術
今日のSQLインジェクション攻撃について説明するとともに、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。
SANS InstituteのInternet Storm Centerのアナリストらは最近、SQLインジェクションに対して脆弱なWebサイトを見つけ出して攻撃するプロセスを自動化するツールを発見した。このプロセスの自動化は、正規のサイトの一部を利用してマルウェアをホスティングし、配信するテクニックがますます一般化しつつある状況を示すものだ。
本稿では、SQLインジェクション攻撃について説明した上で、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。
従来のSQLインジェクション攻撃
SQLインジェクション攻撃自体は決して新しいものではない。例えば、有名な2003年のケースでは、アパレル企業GuessのWebサイトがSQLインジェクション攻撃を受けた結果、情報が流出して政府主導による法的和解に至った。当時の裁判資料は、SQLインジェクションについて「標準のWebブラウザのアドレス（URL）バーに攻撃者が特定の文字を入力することにより、WebサイトをサポートするデータベースやWebサイトに接続したデータベースから情報を取得するようアプリケーションに指示する」と記述している。裁判では、攻撃者がアプリケーションを操作して、guess.comのデータベース内のあらゆるテーブルのデータ（平文のまま）にアクセスできるようにしたことが明らかになった。これらのデータには、顧客のクレジットカード情報も含まれていた。
センシティブなデータを流出させた企業が責任を問われるのは、以前も今も変わらない。最近のSQLインジェクション攻撃で目新しい点は、攻撃が自動化されていることと、攻撃が大規模化していることだ。
進化していたSQLインジェクション攻撃
技術的な視点から見れば、今日のSQLインジェクション攻撃者は、脆弱なWebサイトを見つけ出そうとする姿勢が徹底しているのが特徴だ。また、攻撃プロセスを迅速化するためにさまざまなツールが利用されている。一例として、スパムボットネット（ウイルスメールを大量に送り付けるために構築されたボットネット）によって広範囲にばらまかれたトロイの木馬「Asprox」を取り上げてみよう。SecureWorksの上席セキュリティ研究員、ジョー・スチュアート氏によると、その仕組みは以下の通りだ。
- スパムメールによってトロイの木馬がインストールされる（スパム自体も侵入されたホストから送信される）
- トロイの木馬に感染したPCがバイナリファイルをダウンロードする。このプログラムが起動すると、Googleを利用して潜在的に脆弱なWebサイトを検索する。対象となるのは、Microsoft Active Server Pagesで作成されたフォームを使用する正規サイトだ。この検索結果がSQLインジェクション攻撃のターゲットリストとなる
- トロイの木馬はこれらのサイトにSQLインジェクション攻撃を仕掛け、その一部に侵入を果たす
- 侵入されたサイトにアクセスしたユーザーは、ほかのサイトから不正なJavaScriptコードをダウンロードするように仕向けられる
- そのコードはユーザーを第3のサイトに誘導する。そのサイトには、Asproxや「Danmec」（パスワードを盗むトロイの木馬）など、さらに多くのマルウェアがホスティングされている
これらのステップは、この5年間で攻撃手法が大きく様変わりしたことを示している。従来、Webアプリケーション開発者は、SQLインジェクションの脆弱性が発見され、不正に侵入されるわずかな可能性に備えてテストを行い、パッチを当てる必要があるといわれてきた。しかし最近の攻撃を見れば、脆弱性が見つけ出され、不正侵入を受ける可能性がはるかに高くなったことが分かる。このため、開発者はコードの配備に先立って徹底的にテストを行うとともに、新たな欠陥が報告されたら直ちにパッチを当てなければならない。
Webサイトへの攻撃を検知する方法
自社のサイトからマルウェアがばらまかれるのを喜ぶ企業はいない。では、自社のサイトが侵入を受けたことをどうやって知ればいいのだろうか。奇妙なことに、その答えもGoogleから通知される可能性がある。stopbadware.orgプロジェクトの主要メンバーであるGoogleは、Webサイトに「バッドウェア」（スパイウェア、マルウェア、詐欺的なアドウェアの総称）が含まれていないか監視している。これは、ハッキングツールが攻撃と防御の両方に役立つことを示している。GoogleはWebクローラーが問題を検出したサイトのドメインにおいて、以下の文字が含まれる電子メールアドレスにバッドウェアアラート（警告）を自動的に送信する。
- abuse@
- admin@
- administrator@
- contact@
- info@
- postmaster@
- support@
- webmaster@
もちろん、企業はこれらのメッセージを受け取れるよう準備しておかなければならない。これは簡単なように思えるかもしれない。しかし、これらのアドレスがスパムフィルタに引っ掛かる可能性もあれば、指定された受信者がいないために、メッセージが読まれないままになってしまうこともある。すべての社内ドメインの通信記録を分類・チェックすることが、この新種の攻撃に対処するための最初のステップだ。抜け目ないセキュリティのプロフェッショナルであれば、こういった攻撃に関するニュースを利用して、徹底したサイト検査のための追加リソースを確保しようと考えるかもしれない。
この5年間におけるWeb上の活動の爆発的増加は、多数の「失われた」サイトを生み出した。これらは、いったん立ち上げられたものの、その後できちんと終了せずに放棄されたプロジェクトのサイトである。残念ながら、執拗（しつよう）なGoogleのWebクローラーはこうしたサイトも見つけ出す。これらが潜在的なターゲットであれば、いずれ攻撃されることになるのだ。しかし幸いにも、企業は自社のWebサイトがバッドウェア問題を抱えているかどうかを事前に判断できる。どのようなサイトでも、無償の「Google Webmaster Tools」を使ってチェックすることができるのだ。
Googleに頼りたくないという企業は、自社サイトの徹底検証を実施すべきである。これに役立つツールも幾つか出回っている。例えば、Xenuの無償プログラム「Link Sleuth」は、サイトのすべてのリンクをチェックし、さまざまなエラーを報告してくれる。本番用サイトをテストするとともに、社内ネットワークの外にあるマシンからチェックを実行するのを忘れないように。さもないと、問題を見逃してしまう恐れがある。
新たな攻撃に備えるには
さらに一歩進んだ事前予防的対策として、AcunetixやSPI Dynamics（現在はHewlett-Packardの子会社）などのベンダーが提供するWeb脆弱性スキャナを導入するのもいいだろう。優れたWeb脆弱性スキャナ（ネットワークスキャナと混同しないように）は、企業のWebサイト上で、現在知られているすべてのSQLインジェクション脆弱性を検出することができる。新しい脆弱性が発見された時点でそれを検出できるよう、スキャナを最新の状態に維持することも大切だ。
もちろんSQLインジェクション攻撃に対して防御するだけでは十分とはいえない。攻撃者たちはターゲットを求めて、自動化された検索を組織的に行い、攻撃を実行しているのだ。これらの手法が、SQLだけでなくWebインフラのそのほかの脆弱性に適用されることも十分にあり得る。
今日、Webアプリケーション配備プロセスのすべての段階における確実なコードレビュー、そして本番配備前のセキュリティテストが、以前にも増して重要になっている。そして配備後も、脆弱性スキャナやサイト監視などによってさらに防御を強化する必要がある。
本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、Cobweb Applicationsの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として『IIS Security』があり、主要なIT出版物に多くの技術記事を寄稿している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣 -
製品資料
[サイボウズ株式会社] AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
4
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
5
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
6
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
7
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
8
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
9
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
10
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー