 |
≫ |
|
|
|
|
|
|
|
|
|
| ※HP IceWall SSO は株式会社SCCとの共同開発製品です。 |
|
|
|
SQLインジェクションとは、開発者が意図していないSQL文をWebアプリケーションの中へ送り込む攻撃を指します。もし、Webアプリケーションが、システム内で利用されるSQL文と送り込まれたSQL文を連結して動的な処理を行うようになっている場合、このSQL文は実行されてしまいます。そのため、悪意のあるユーザが、このSQLインジェクション攻撃を行い、本来公開されていないシステム内の情報を窃取したり、改ざんしたり、という事件が多発しております。これらの事件において、企業や団体にとって致命的な損害を招く可能性が高いため、迅速で、十分な対策が必要とされています。
必要な対策としては、Webアプリケーションの検査や確認を定期的に行うこと、Webアプリケーションのシステムやコードの不備となる脆弱性を修正すること、Webアプリケーションの脆弱性を前段でブロックすること、があげられます。
■Webアプリケーションで用意されているSQL文
SELECT userName from auth_table where userID=‘ユーザ入力文字列';
※userIDがユーザ入力の文字列とマッチした場合、該当行のuserNameを返すSQL文
■Webアプリケーションで実行されるSQL文
SELECT userName from auth_table where userID=‘001’ OR ‘1‘=‘1';
※全ユーザに対して’1’=‘1’が真になってしまい、全ユーザのuserNameが出力
 |
|
|
| |
1.定期的なセキュリティチェックによる防御 ―HP WebInspect software ―
HP WebInspect Softwareは、Webアプリケーションの脆弱性検査を自動化できるツールです。従来、複数のツールを煩雑に多用したり、特殊なスキルを必要としていた脆弱性検査を、自動で実行することにより、SQLインジェクション等のWebアプリケーションの脆弱性を容易に検知することができます。
この際に、Webアプリケーションのシステムやコードの修正ガイドラインを提示したり、レポートを作成できるため、開発や運用の業務にとって非常に利便性の高い製品となっています。
≫ HP WebInspect Softwareに関する詳細はこちら
2.不正な文字列のフィルタリングによる防御 ―HP IceWall MCRP 2.1 ―
HP IceWall MCRPは、日本国内No.1のシングルサインオン製品であるHP IceWall SSOの製品開発ノウハウを活かし、 HTTP攻撃への対策やリバースプロキシ機能に特化して開発された “セキュアリバースプロキシ”製品で、Webアプリケーションの不備を前段でブロックすることができます。
HP IceWall MCRP 2.1 SP1のSQLインジェクション対応機能を使用することで、外部の悪意を持った攻撃者（ハッカー）が、リレーショナルデータベースを不正に操作することを目的にWebアプリケーションに送ってくる可能性のある有害な文字列パターンを検出し、情報の漏えいや改ざんを未然に防止することが可能です。 |
|
|
|
●HP IceWall MCRP導入前
悪意のある攻撃者がSQLインジェクション対策未対応のWebアプリケーションに、SQL文を含んだ不正な文字列を送る事により、顧客データ等の機密情報を不正に取得する可能性があります。 |
|
|
|
 |
|
|
|
●HP IceWall MCRP導入後
セキュアリバースプロキシのSQLインジェクション対応機能により、SQL文を含んだ不正なリクエストを検出し、セッションを切断する事が可能です。 |
|
|
|
 |
|
|
| |
このようにHP IceWall MCRPをWebアプリケーションの前段に配置して、不正な文字列をフィルタリングするよう設定すると、アプリケーションの改修をすることなく、またパフォーマンスの劣化も引き起こすことなく、SQLインジェクション攻撃への防御を行う事ができます。
≫ HP IceWall MCRPに関する詳細はこちら
3.日本HPが薦めるSQLインジェクション対策
SQLインジェクションを含めた、Webアプリケーションの脆弱性に対する攻撃手法は日々進化してきています。
Webアプリケーションの脆弱性を前段でブロックし、且つ定期的にシステムのセキュリティのチェックや対策の見直しを行うことを並行して実施することが重要です。
Webアプリケーション脆弱性対策 対応例
①HP IceWall MCRPで多層防御しアタックを即効ブロック
②HP WebInspect softwareで総合的な検査を定期的に実施し、システムやソースコードの脆弱性へ修正ガイドラインを提供 |
|
|
 |
|
|
印刷用画面へ
