アカマイ・テクノロジーズの中西一博氏

　まず攻撃者は、標的とするWebアプリケーションの情報を収集する。攻撃対象となるサーバを探るため、WebアプリケーションのURLを調べる。そのための手段として中西氏は、ドメイン情報データベース「WHOIS」やドメインネームシステム（DNS）への問い合わせの他、検索エンジン「Google検索」を用いた「Google Dorking」（「Google Hacking」とも呼ばれる）という手法を挙げる。

　Google検索は、検索キーワードに特定の文字列（検索演算子）を含めることで検索結果を絞り込めるようにしている。Google Dorkingは、この仕組みを悪用して脆弱（ぜいじゃく）なWebサイトのURLをリストアップする。

2．マッピング

　次に攻撃者は、偵察フェーズで収集したURLとIPアドレスをひも付けたり、標的のWebアプリケーションがどのタイミングで、どのサーバと、どのような通信をしているのかを突き止めたりする。

　Webアプリケーションが情報をやりとりする際の主な手段として、API（アプリケーションプログラミングインタフェース）がある。攻撃者はどのようなAPI通信が何に利用されているかを調べることで、不正アクセスに必要な通信方式やデータ形式を入手する。

3．特定

　ここまでで収集した情報を基に、攻撃者は実際の脆弱性を特定する（図2）。例えば攻撃者はWebアプリケーションのID登録画面や入金（チャージ）画面で通信をキャプチャーし、サーバ操作に必要な情報や施されているセキュリティ対策を推測する。

図2　攻撃者がWebアプリケーションから脆弱性を特定する流れの例（出典：アカマイ・テクノロジーズの資料を基に編集部で一部変更）《クリックで拡大》

4．実行

　特定した脆弱性や、不正アクセスに必要な個人情報などの情報を踏まえ、攻撃者は複数の攻撃経路を考える。APIサーバの脆弱性を利用した攻撃では、「攻撃者がAPIサーバで任意のコマンドを実行できる状態にして、情報を詐取するプログラムをAPIサーバに設置する」手法があるという（中西氏）。そうした状態のAPIサーバは、ユーザーがWebアプリケーションを通じて入力した情報を自由に盗み取れてしまう。

　「複数の攻撃経路について、攻撃者は『投資対効果』が良いものを採用して攻撃に及ぶ」と中西氏は説明する。ここで言う「投資」とは、IDやパスワードといった機密情報、あるいは攻撃を実施するためのプログラムなどを闇市場で購入する費用だ。一方、不正アクセスによる金銭詐取の収入が「効果」となる。

「ゼロトラスト」と「WAF」が有効

　中西氏は企業の事業部門が個別にWebアプリケーションを導入し、IT部門が実態を把握できていない「シャドーIT」についても注意を促す。それらのWebアプリケーションがAPI経由で情報を送受しているケースもある。セキュリティ管理が万全でないシャドーITが攻撃の標的になった場合、そうした通信を介した侵害が発生するリスクがある。

　最近はクラウドサービスを採用する動きが企業間で広まっている。クラウドサービスに対しても、攻撃者はアカウントに不正アクセスするためのパスワードリスト攻撃などの手段で侵害を試みる。

　クラウド活用が進むにつれ、アカウント保護やID管理の重要性は増していくといえる。「攻撃者は攻撃手段を大きく変えることは少ないため、必要なセキュリティ対策をそろえておくことが大切」と中西氏は説明する。

　クラウドサービスを含むWebアプリケーションを利用する場合のセキュリティ対策として、アカマイ・テクノロジーズの金子春信氏は「『ゼロトラストセキュリティ』を採用した製品・サービス」を挙げる。

アカマイ・テクノロジーズの金子春信氏

　従来のセキュリティは「LANなどの社内ネットワークにいるユーザーは全て信頼し、インターネットなどの社外ネットワークからアクセスするユーザーは信頼しない」という考えに基づいていた。ゼロトラストセキュリティではその考え方を捨て、企業ネットワークの境界内外を問わず、必要なときにユーザーの認証を要求する。

　Webアプリケーションは、インターネット接続環境があれば社外ネットワークからでも利用できるものが少なくない。そのようなアプリケーションはゼロトラストセキュリティと相性が良く、アクセスするネットワークによらないセキュリティ対策が可能となる。

　ゼロトラストセキュリティを実現するには、以下のような製品が利用できる。

• ID管理ツール
  • Webアプリケーションの利用を要求してきたユーザーが、正規の権限を持つユーザーかどうかを判別することがゼロトラストセキュリティの基本となる。そのための権限管理にはID管理ツールが役立つ。
• シングルサインオン（SSO）ツール
  • 複数のWebアプリケーションを利用する際、利用権限を確認するためのログインを逐一エンドユーザーに求めることは、手間の増加やアカウント侵害のリスクを生む。SSOを利用すると、一度のログインで複数のWebアプリケーションにまたがって権限を証明できる。
• 多要素認証（MFA）ツール
  • 認証に必要な要素を増やす多要素認証で、正規ユーザーかどうかを判断するプロセスでセキュリティを高められる。
• モバイルデバイス管理（MDM）ツール
  • 社外ネットワークから業務用のWebアプリケーションを利用するための手段としてモバイルデバイスは有力な候補となる。そうした場合、エンドポイントとなるモバイルデバイスの保護は不可欠だ。MDMはその有力な手段となる。

　他方で、業務システムをWebアプリケーションに移行したり、インターネットを通じて何かしらのサービスを提供したりしている企業にとっても、上述の攻撃は脅威となる。Webアプリケーションを運用する立場から見た保護手段としてはWAF（Webアプリケーションファイアウォール）がある。WAFはAPI通信をはじめとしたインターネット経由の通信を検査し、不正な通信の検出と防御を実現する。

　企業に多様な働き方が広まるとともに、時間や場所を問わない業務アプリケーションや業務用データへのアクセス手段も増えるだろう。そのための方法としてWebアプリケーションを採用する際には、本稿で紹介したような攻撃手法の知識とセキュリティ対策が役立つだろう。