第12回・Webサイトの脆弱性
情報処理推進機構（IPA）およびJPCERTコーディネーションセンターが公表した2009年第1四半期のWebサイトの脆弱性に関する届出状況によると、届出のあった合計821件のうち、DNSの設定不備（DNSキャッシュポイズニング）が343件、クロスサイトスクリプティングが334件、SQLインジェクションが100件と上位3種類の脆弱性で全体の95%を占めていることがわかりました。（本連載では、第1回にSQLインジェクション、第2回にクロスサイトスクリプティング、第3回にDNSキャッシュポイズニングを取り上げ、最近の傾向と基本的な対策を紹介しました。）
これら3種類の脆弱性に共通する点は、攻撃用のツールがネットで出回ったことで、脆弱性が存在しそうなWebサーバを無作為に攻撃できるようになったため、ある日突然被害を受ける可能性があることです。特定の企業を狙った標的型攻撃では、人間の心理・行動の隙を突くことで情報を不正に取得するソーシャルエンジニアリングの手法を取り入れたものが登場するなど、攻撃方法も多様化してきています。その一方で、Webサイトの実際のトラブルは外部からの攻撃を受けなくても、サーバの基本設定を間違えるなど人的なミスが重なって発生しているケースも多いという現状があります。Webサイトのセキュリティは、システムに対するリスクを増大させるあらゆる要素に対処する必要があります。
【トラブル事例】
2006年1月9日、楽天は前年12月より実施していたポイントキャンペーンにおいて、複数の楽天アカウントを開設して大量にポイントを取得していた例が数多く発見されたとして、会員に付与したポイントを一旦取り消したことを発表しました。スポンサーのプロバイダやポータルサイトの利用者に「楽天スーパーポイント」を付与する趣旨でしたが、キャンペーンサイトのURLをクリックするだけでポイントが自動的に付与されるアプリケーションの欠陥が正月休み中に匿名掲示板で伝わると、複数の楽天アカウントを開設してポイントを大量に取得する人が続出しました。正当な利用者のポイントも一旦取り消されたため、発表直後は会員の間で混乱が拡大しました。
上記のトラブル事例では、キャンペーンに採用されたWebアプリケーションの不具合を事前にチェックできなかったことが直接の原因ですが、トラブルが発生した当時は会員規約に複数アカウントの開設を禁止する条項がなく、実際に同じ人がアカウントを短時間でいくつも開設できたなど、システムや制度に不備があったことも否めません。事件が発覚した後もキャンペーン中止の決定や公式発表が遅れるなど、対応も決して迅速とはいえませんでした。システムの不具合や対応の悪さなど様々な要因が重なって騒ぎが大きくなったトラブルであることがわかります。
| Webアプリケーションの脆弱性検査 | プログラムの内容を知らせずに実施するブラックボックステストや、プログラムのソースを伝えた上で実施するホワイトボックステストなどがある。 |
| ポートスキャニング | サーバの接続窓口であるポートに順番にアクセスして、外部からの侵入を許してしまいようなポートが存在しないかどうかを定期的にチェックする。 |
| 攻撃痕跡検出ツールの導入 | 情報処理推進機構（IPA）は、アクセスログからWebアプリケーション脆弱性を狙った攻撃と思われる痕跡を検出するツール「iLogScanner」を無料で提供している。 |
| 侵入検知システム（IDS）による監視 | システムにアクセスしてくるトラフィックを常時監視して、脆弱性攻撃の際に出現するパターンが検出されるとシステム管理者にアラートを発する。 |
Webサイトを安全に運営するには、定期的に脆弱性検査を行い、外部から攻撃される隙をできるだけ見せないことが重要です。Webアプリケーションの脆弱性検査としては、プログラムの内容を知らせずに外部から動作させて行うブラックボックステストや、プログラムのソースを伝えた上で意図した通りに動作するかを確認するホワイトボックステストなどがあります。脆弱性に対する攻撃を素早く検知する仕組みとしては、攻撃の際に出現する特定パターンのトラフィックをリアルタイムで監視する侵入検知システム（IDS）の導入が有効です。また、Webサイトのセキュリティに関するガイドラインを策定して、担当者の意識を日頃から高めておくことがトラブル防止に効果的といえるでしょう。
※「トラブル事例に学ぶWebサイトのセキュリティ」は今回が最終回となります。次回からは新しい企画がスタートいたします。お楽しみに。
-----------------------------------------------------------------
◎初出：2009年6月29日
-----------------------------------------------------------------
| 固定リンク
