【システム開発】より高度なWEBサイト構築に！WEBシステム開発に際してのセキュリティ対策について［２］

WEBシステム開発に際して、セキュリティ対策は非常に重要な問題です。
良く取り上げられる攻撃手法に、XSS（クロスサイトスクリプティング）、SQLインジェクション、CSRF（クロスサイトリクエストフォージェリ）などがあります。
今回はその中でもSQLインジェクションについて取り上げます。

SQLインジェクションとは？

SQLインジェクションとは、WEBアプリケーションにおいて不正なSQLクエリを注入する（攻撃者がWEBシステムの入力欄やフォームを通じて、自分の意図したSQLコマンドをデータベースに挿入する）ことでデータベースに対して攻撃を行う手法のことです。

攻撃者の不正な入力を通じてデータベースの操作を乗っ取られることで、データベース内の機密情報等が盗み出されることがあります。

SQLインジェクション攻撃の種類

SQLインジェクション攻撃にはさまざまな種類がありますが、その中から３点紹介します。

1. クラシック SQL インジェクション

最も一般的なSQLインジェクション攻撃で、攻撃者は入力フィールドなどを通じて不正なSQLクエリをデータベースに送り込みます。

攻撃者によってクエリ内に挿入されたコードが実行され、データベースの情報を盗み出されたり、データを改ざんされたりします。

2. ブラインド SQL インジェクション

攻撃者がデータベースから情報を抽出するための真偽クエリを送信し、その結果に基づいて情報を推測する攻撃です。

攻撃者は真偽クエリを使って、「はい/いいえ」の質問をデータベースに送り、レスポンスの違いを観察して情報を収集します。

3. エラーベース SQL インジェクション

攻撃者がデータベースに対してエラーメッセージを生成させるアクションを実行します。

攻撃者がデータベースのエラーメッセージを利用することで行われる攻撃です。

攻撃者が意図的にエラーメッセージを生成させ、エラーメッセージに含まれるデータベースの情報から構造等を調査し、その情報をもとに攻撃されます。

SQLインジェクション対策のための開発手法

SQLインジェクション攻撃からWEBシステムを保護するための手法として、プリペアドステートメントの使用、エスケープ処理、データベースユーザーの権限制限などの方法があります。対策の概要をいくつかご紹介いたします。

プリペアドステートメント（Prepared Statement）の使用

プリペアドステートメント（Prepared Statement）はSQLクエリ内のユーザー提供データを安全にエスケープし、データベースに送信する方法です。プリペアドステートメントを使用すると、SQLクエリ内のパラメータがプレースホルダーとして扱われ、自動的にエスケープされます。

SQLインジェクション対策の他にも、パフォーマンス向上による高速化などのメリットもあります。

エスケープ処理

ユーザー入力をデータベースクエリに組み込む前に、エスケープ処理を行い、特殊文字を無効化します。

データベースユーザの権限制限

データベースユーザの権限制限は、データベースセキュリティの重要な側面です。データベースユーザが実行できる操作を制限することによって、不正アクセスやデータ漏洩を防ぎ、システムの安全性を確保します。

まとめ

SQLインジェクションはWEBシステムにおける重大な脆弱性であり、開発に際して適切な対策を講じることが不可欠です。プリペアドステートメントの使用、データベースユーザの権限制限、エスケープ処理など、複数のセキュリティ対策を組み合わせて、SQLインジェクション攻撃からアプリケーションを守ることが求められます。

他の脆弱性に対しても同じですが、セキュリティ意識の向上と定期的なセキュリティ対策の実施が安全性の確保のためには欠かせません。