攻撃の検出と防御の方法
自動SQLインジェクション攻撃への新たな防御戦術
今日のSQLインジェクション攻撃について説明するとともに、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。
SANS InstituteのInternet Storm Centerのアナリストらは最近、SQLインジェクションに対して脆弱なWebサイトを見つけ出して攻撃するプロセスを自動化するツールを発見した。このプロセスの自動化は、正規のサイトの一部を利用してマルウェアをホスティングし、配信するテクニックがますます一般化しつつある状況を示すものだ。
本稿では、SQLインジェクション攻撃について説明した上で、正規のWebサイトに潜んでいる悪質なページを検出、隔離し、それに対処する方法を検証する。
従来のSQLインジェクション攻撃
SQLインジェクション攻撃自体は決して新しいものではない。例えば、有名な2003年のケースでは、アパレル企業GuessのWebサイトがSQLインジェクション攻撃を受けた結果、情報が流出して政府主導による法的和解に至った。当時の裁判資料は、SQLインジェクションについて「標準のWebブラウザのアドレス（URL）バーに攻撃者が特定の文字を入力することにより、WebサイトをサポートするデータベースやWebサイトに接続したデータベースから情報を取得するようアプリケーションに指示する」と記述している。裁判では、攻撃者がアプリケーションを操作して、guess.comのデータベース内のあらゆるテーブルのデータ（平文のまま）にアクセスできるようにしたことが明らかになった。これらのデータには、顧客のクレジットカード情報も含まれていた。
センシティブなデータを流出させた企業が責任を問われるのは、以前も今も変わらない。最近のSQLインジェクション攻撃で目新しい点は、攻撃が自動化されていることと、攻撃が大規模化していることだ。
進化していたSQLインジェクション攻撃
技術的な視点から見れば、今日のSQLインジェクション攻撃者は、脆弱なWebサイトを見つけ出そうとする姿勢が徹底しているのが特徴だ。また、攻撃プロセスを迅速化するためにさまざまなツールが利用されている。一例として、スパムボットネット（ウイルスメールを大量に送り付けるために構築されたボットネット）によって広範囲にばらまかれたトロイの木馬「Asprox」を取り上げてみよう。SecureWorksの上席セキュリティ研究員、ジョー・スチュアート氏によると、その仕組みは以下の通りだ。
- スパムメールによってトロイの木馬がインストールされる（スパム自体も侵入されたホストから送信される）
- トロイの木馬に感染したPCがバイナリファイルをダウンロードする。このプログラムが起動すると、Googleを利用して潜在的に脆弱なWebサイトを検索する。対象となるのは、Microsoft Active Server Pagesで作成されたフォームを使用する正規サイトだ。この検索結果がSQLインジェクション攻撃のターゲットリストとなる
- トロイの木馬はこれらのサイトにSQLインジェクション攻撃を仕掛け、その一部に侵入を果たす
- 侵入されたサイトにアクセスしたユーザーは、ほかのサイトから不正なJavaScriptコードをダウンロードするように仕向けられる
- そのコードはユーザーを第3のサイトに誘導する。そのサイトには、Asproxや「Danmec」（パスワードを盗むトロイの木馬）など、さらに多くのマルウェアがホスティングされている
これらのステップは、この5年間で攻撃手法が大きく様変わりしたことを示している。従来、Webアプリケーション開発者は、SQLインジェクションの脆弱性が発見され、不正に侵入されるわずかな可能性に備えてテストを行い、パッチを当てる必要があるといわれてきた。しかし最近の攻撃を見れば、脆弱性が見つけ出され、不正侵入を受ける可能性がはるかに高くなったことが分かる。このため、開発者はコードの配備に先立って徹底的にテストを行うとともに、新たな欠陥が報告されたら直ちにパッチを当てなければならない。
Webサイトへの攻撃を検知する方法
自社のサイトからマルウェアがばらまかれるのを喜ぶ企業はいない。では、自社のサイトが侵入を受けたことをどうやって知ればいいのだろうか。奇妙なことに、その答えもGoogleから通知される可能性がある。stopbadware.orgプロジェクトの主要メンバーであるGoogleは、Webサイトに「バッドウェア」（スパイウェア、マルウェア、詐欺的なアドウェアの総称）が含まれていないか監視している。これは、ハッキングツールが攻撃と防御の両方に役立つことを示している。GoogleはWebクローラーが問題を検出したサイトのドメインにおいて、以下の文字が含まれる電子メールアドレスにバッドウェアアラート（警告）を自動的に送信する。
- abuse@
- admin@
- administrator@
- contact@
- info@
- postmaster@
- support@
- webmaster@
もちろん、企業はこれらのメッセージを受け取れるよう準備しておかなければならない。これは簡単なように思えるかもしれない。しかし、これらのアドレスがスパムフィルタに引っ掛かる可能性もあれば、指定された受信者がいないために、メッセージが読まれないままになってしまうこともある。すべての社内ドメインの通信記録を分類・チェックすることが、この新種の攻撃に対処するための最初のステップだ。抜け目ないセキュリティのプロフェッショナルであれば、こういった攻撃に関するニュースを利用して、徹底したサイト検査のための追加リソースを確保しようと考えるかもしれない。
この5年間におけるWeb上の活動の爆発的増加は、多数の「失われた」サイトを生み出した。これらは、いったん立ち上げられたものの、その後できちんと終了せずに放棄されたプロジェクトのサイトである。残念ながら、執拗（しつよう）なGoogleのWebクローラーはこうしたサイトも見つけ出す。これらが潜在的なターゲットであれば、いずれ攻撃されることになるのだ。しかし幸いにも、企業は自社のWebサイトがバッドウェア問題を抱えているかどうかを事前に判断できる。どのようなサイトでも、無償の「Google Webmaster Tools」を使ってチェックすることができるのだ。
Googleに頼りたくないという企業は、自社サイトの徹底検証を実施すべきである。これに役立つツールも幾つか出回っている。例えば、Xenuの無償プログラム「Link Sleuth」は、サイトのすべてのリンクをチェックし、さまざまなエラーを報告してくれる。本番用サイトをテストするとともに、社内ネットワークの外にあるマシンからチェックを実行するのを忘れないように。さもないと、問題を見逃してしまう恐れがある。
新たな攻撃に備えるには
さらに一歩進んだ事前予防的対策として、AcunetixやSPI Dynamics（現在はHewlett-Packardの子会社）などのベンダーが提供するWeb脆弱性スキャナを導入するのもいいだろう。優れたWeb脆弱性スキャナ（ネットワークスキャナと混同しないように）は、企業のWebサイト上で、現在知られているすべてのSQLインジェクション脆弱性を検出することができる。新しい脆弱性が発見された時点でそれを検出できるよう、スキャナを最新の状態に維持することも大切だ。
もちろんSQLインジェクション攻撃に対して防御するだけでは十分とはいえない。攻撃者たちはターゲットを求めて、自動化された検索を組織的に行い、攻撃を実行しているのだ。これらの手法が、SQLだけでなくWebインフラのそのほかの脆弱性に適用されることも十分にあり得る。
今日、Webアプリケーション配備プロセスのすべての段階における確実なコードレビュー、そして本番配備前のセキュリティテストが、以前にも増して重要になっている。そして配備後も、脆弱性スキャナやサイト監視などによってさらに防御を強化する必要がある。
本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、Cobweb Applicationsの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として『IIS Security』があり、主要なIT出版物に多くの技術記事を寄稿している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品レビュー
[ヴィーム・ソフトウェア株式会社] SCS評価制度を導入するだけで十分？ 組織の防御力を高める活用方法とは -
技術文書・技術解説
[フォーティネットジャパン合同会社] AIランサムウェアに勝つ 自律型エンドポイント管理導入で確認すべき条件4つ -
技術文書・技術解説
[フォーティネットジャパン合同会社] LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント -
製品レビュー
[ネットアップ合同会社] 研究分野でAI活用が進まない？ 真の成果につなげるデータ管理の在り方とは -
製品レビュー
[ヴィーム・ソフトウェア株式会社] SCS評価制度を導入するだけで十分？ 組織の防御力を高める活用方法とは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
2
AI時代のITインフラ戦略とは？ 販売代理店が知っておきたい最新トレンド
-
3
VMware離れの決め手は“機能”以外だった 情シス109人が選んだ新基準と死角は
-
4
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
5
二極化する生成AI活用 「一部の社員しか使いこなせない」をどう解消すべきか
-
6
「企業におけるAIの運用」に関するアンケート
-
7
「GPUが待ちぼうけ」の悪夢を防げ AIストレージベンダー7選
-
8
Claude Opus 5.5、GPT-6 Sol／Luna登場 情シスが迫られるモデル使い分け
-
9
デンソークリエイト、Excelからの移行も簡単に行えるプロジェクト管理ツールを発表
-
10
「仮想化基盤の利用・検討状況」に関するアンケート
ホワイトペーパーランキング PR
-
1
「Google Workspace」活用事例34選、先進の生成AIによる組織変革の全貌
-
2
Linuxのスキルを証明する“激推し”の認定資格はこれだ
-
3
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
4
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
5
月1000枚の紙を削減 9年動けなかった組織が、業務改革のその先に得たもの
-
6
「改正物流効率化法対策」徹底解説 総物流費を抑制するサプライチェーン戦略
-
7
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
8
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
-
9
AI活用を停滞させる「2：6：2の壁」を乗り越えるためのポイントとは？
-
10
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー