Webアプリケーションを脅かす5つの脆弱性【前編】
SQLインジェクション、クロスサイトスクリプティングとは？ Webの主な脆弱性
攻撃によく利用される手法を理解することは、適切なセキュリティ対策を講じるための第一歩だ。Webアプリケーションの主な脆弱性「SQLインジェクション」「クロスサイトスクリプティング」を紹介する。
Webアプリケーションの一般的な脅威は、セキュリティの専門家がよく知っているものでもある。なぜそれらの脅威はなくならないのだろうか。原因は、概してIT部門が脅威を防ぐために十分な対策をしていないことにある。本稿が紹介する以下5つのWebアプリケーションの脆弱（ぜいじゃく）性に関する情報を、セキュリティインシデントと潜在的なダメージを防ぐために役立ててほしい。
- SQLインジェクション
- クロスサイトスクリプティング（XSS）（会員限定）
- バッファオーバーフロー（後編で紹介）
- クロスサイトリクエストフォージェリ（CSRF）（後編で紹介）
- アクセス制御の不備を突く攻撃（後編で紹介）
併せて読みたいお薦め記事
さまざまなアプリケーション攻撃手法
アプリケーションへの攻撃を防ぐには
1．SQLインジェクション
正規のSQLクエリに悪意ある操作を挿入して、標的のサーバで実行させることを可能にするSQLインジェクションを悪用した攻撃は、たちが悪い脅威だ。機密データ漏えいだけでなく、攻撃者によるシステムへのリモートアクセスと制御を引き起こす。Webアプリケーションの開発とホスティングの外部委託、継続的なセキュリティテストの未実施が、SQLインジェクション攻撃の一因になっている。
SQLインジェクション攻撃を防ぐには脆弱性診断とペネトレーション（侵入）テストが欠かせない。市販の脆弱性診断製品やソースコード分析製品を使用することで、SQLインジェクションをはじめとするアプリケーションの脆弱性を検出できる。1つのセキュリティ製品で全ての脅威に対処するのは難しいため、複数の製品を使うとよいだろう。
2．クロスサイトスクリプティング（XSS）
不正なスクリプトを「信頼できるWebサイトが提供した」とWebブラウザに誤認識させ、エンドユーザーのWebブラウザで実行させることを可能にする脆弱性がXSSだ。XSSを悪用した攻撃を通じて、攻撃者は正当なエンドユーザーになりすますことができる。そこから特権を持つアカウントを乗っ取ることで、コンテンツの改ざんから遠隔操作でのプログラム実行に至るまで、さまざまな操作を実行できるようになる。
XSS攻撃には次の3種類がある。
- 反射型
- Webサイトが送信するクエリのパラメータを悪用し、悪意ある操作をWebブラウザに実行させる
- DOM（Document Object Model）型
- 「JavaScript」のスクリプトによる指示でWebブラウザがWebサイトのコンテンツを操作する際に、不正な指示を与えてスクリプトを混入させる
- 格納型
- Webサイトが利用するデータベースにスクリプトを混入させる
TechTarget発 先取りITトレンド
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
TechTarget発 先取りITトレンド
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[富士フイルムビジネスイノベーション株式会社] データ入力業務のDXを実現 工数削減や業務品質向上に効くアプローチとは？ -
製品資料
[日本ヒューレット・パッカード合同会社] AI活用で競争力を高める「最適にデザインされたAI基盤」の在り方とは？ -
製品資料
[日本ヒューレット・パッカード合同会社] 「人がAIを使う時代」の次は―― “AI Ready”なIT環境が切り開く新たなAI時代 -
製品レビュー
[MNTSQ株式会社] 法務部門のための「AI導入」ロードマップ -
技術文書・技術解説
[SAPジャパン株式会社] 人手だけでは守り切れない、AI時代のERPを守る「仕組み」とは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Microsoft 365統一で「SharePoint」が1日2TB増 富士フイルムはどう管理した？
-
2
「企業内サーバ環境の利用実態」に関するアンケート
-
3
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
4
「オフィス移転・刷新に伴うネットワーク環境の実態」に関するアンケート
-
5
「社用車」に関するアンケート
-
6
AWS、Azure、GCPの「クラウドストレージ」を比較する3つのポイント
-
7
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
8
「契約業務のAI活用」に関するアンケート
-
9
負の遺産ではない！ 今こそメインフレームを再評価すべし
-
10
なぜ「PHP2Shell」はパッチを当てても終わらないのか？
ホワイトペーパーランキング PR
-
1
本当に使える「会議翻訳ツール」を見極める4つの選定基準
-
2
「IT史に名を残すシステム障害」8選
-
3
AIが苦手な「汚いデータ」になっていない？ AI投資を無駄にしないための注意点
-
4
「テスト内製化＆自動化」事例集：ディー・エヌ・エーなど9社に学ぶ実践のコツ
-
5
法人向け光回線のプランはどう選ぶ？ 機能面／保守体制／コストを一覧で比較
-
6
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
7
有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは
-
8
Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
-
9
進化が遅れる「電話」をアップデート、AIを搭載した次世代の通話機能とは？
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー