「オープンソース安全神話」信奉者が見なかったことにしたい“つらい現実”（2/2 ページ）

公開 2016年06月13日 07時00分

更新 2016年06月23日 19時20分

著者

Kevin Beaver

[TechTarget]

印刷する

併せて読みたいお勧め記事

OSSを揺るがした「Heartbleed」の悲劇を振り返る

商用ソフトとOSS、どちらが安全か

　セキュリティの課題はSSLだけにとどまらない。Webアプリケーションセキュリティ脆弱（ぜいじゃく）性スキャナーベンダーであるNetsparkerが最近実施した調査で、多くの企業が信頼して使用しているオープンソースWebアプリケーションに多数のセキュリティホールが見つかった。同社は2011年以降、396個のオープンソースWebアプリケーションをスキャンしてきた。見つかった脆弱性は、スクリプトの不正な埋め込みや実行を許してしまう「クロスサイトスクリプティング」（XSS）が180件、アプリケーションが意図しないファイルを読み込んでしまう「ファイルインクルード」が16件、SQL文の不正な埋め込みや実行を許してしまう「SQLインジェクション」が55件など、269件にも上る。

　ベンダーが発表する調査結果は疑わしいこともあるが、同社の調査結果から分かる脆弱性の動向は、セキュリティコンサルタントによるWebアプリケーション脆弱性スキャンや侵入テストの結果と同じである。実際、特に重大度の高い脆弱性がOSSで見つかることは少なくない。これらの脆弱性は、Webアプリケーションの脆弱性スキャナーで発見できるものではない。脆弱性スキャナーで見つけられる脆弱性は、全てのWeb脆弱性のうち半分程度といったところだろう。残りの半分は、古き良きWebブラウザで見つかる。そのような脆弱性には、従来のWebセキュリティの問題を超えて、パスワードポリシーやパスワードの強制、ビジネスロジックの弱点など、あらゆるアプリケーションに影響する脆弱性が含まれる。

　オープンソースWebアプリケーションが「無料」で、重要度が高いシステムでは実行していないという理由だけで、オープンソースWebアプリケーションが攻撃される恐れはないと信じてしまうのはやめた方がいい。企業はオープンソースWebアプリケーションを実行するシステムを現行のセキュリティテストの対象に含めるだけではなく、Checkmarxの「Checkmarx」などの有料ツールや「Brakeman」などのオープンソースツールを使用した静的ソースコード解析も検討する必要があるだろう。

　自社で運用しているパッチ管理システムの管理対象に、オープンソースWebアプリケーションを組み込むことも重要だ。またオープンソースWebアプリケーションを監視システムや警告システムで管理し、インシデント対応手順も整理しておきたい。重要なのは、オープンソースWebアプリケーションをしっかりとした監視下に置き、決して監視を怠らないことだ。「信じるが、検証する」というのが、取るべき最善の姿勢である。