情報セキュリティマネジメント 2023年 科目A 問07

Webアプリ脅威対策【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 各選択肢が「どの脅威」を対象にしているかを確認する（OSコマンドインジェクション、SQLインジェクション、XSS、セッションハイジャック）。
2. その脅威に対して提示された対策が直接的かつ一般的に有効かを考える。
3. 有効であれば正答候補とし、無関係・不十分・誤解を招く対策は除外する。
4. 最後に、実務での具体的な実装例や注意点で裏付ける。

選択肢別の誤答解説

• ア: OSコマンドインジェクションに対する記述として不適切です。
  • OSコマンドインジェクション（サーバ上で意図しないOSコマンドが実行される攻撃）を防ぐには、外部コマンドを呼び出さない設計、入力のホワイトリスト（許可リスト）検証、シェルを経由しない安全なAPIの使用が重要です。
  • セッションIDの乱数化は「セッションの推測防止・セッション固定化の対策」であり、OSコマンドインジェクションとは無関係です。
• イ: 正しい。
  • プレースホルダ（prepared statements / parameterized queries）は、SQL文の構造と値を分離するため、ユーザ入力がSQL構文として解釈されることを防ぎます。実務でも最も基本的かつ推奨される対策です。
• ウ: クロスサイトスクリプティング（XSS：利用者のブラウザ上で攻撃者のスクリプトが実行される攻撃）への対策として不適切です。
  • 「Webサーバ内のファイルを外部から直接参照できないようにする」ことはアクセス制御の一つで、ファイルの不正ダウンロードや情報漏洩を減らしますが、XSSはページに挿入されたスクリプトがブラウザで実行される問題であり、出力時のエスケープ（HTMLエスケープ）、Content Security Policy（CSP：外部スクリプトの読み込み制御）、入力検証が主な対策です。
• エ: セッションハイジャック対策として誤りです。
  • 「Webアプリケーションからシェルを起動できないようにする」はサーバ側のコマンド実行リスク低減にはなるかもしれませんが、セッションハイジャック（他人が利用者のセッションを乗っ取る攻撃）を防ぐためにはTLS（通信の暗号化）、セッションIDの十分なランダム化、Cookie属性（Secure, HttpOnly, SameSite）の設定、セッションIDの再生成やタイムアウトが有効です。

よくある誤解

• セッションIDのランダム化はすべての攻撃を防ぐ：セッションIDの強化は重要ですが、盗聴やXSSなどで盗まれれば意味がありません。TLSやHttpOnlyなどの併用が必要です。
• プレースホルダを使えば「何もしなくてよい」わけではない：プレースホルダはSQLインジェクションに強力ですが、論理的エラーや権限管理の不備、バッチ処理のミスは別問題です。
• XSS対策は「ファイルの参照制限」で解決する：XSSは主に出力側の処理（サニタイズ／エスケープ）なので、別の対策が必要です。

補足コラム

• プレースホルダの簡単なコード例（Python、sqlite3）:

import sqlite3

conn = sqlite3.connect('example.db')
cur = conn.cursor()

# ユーザ入力を直接文字列連結しない
user_input = "some value"
# プレースホルダを使う（値は自動でエスケープされる）
cur.execute("SELECT * FROM users WHERE name = ?", (user_input,))
rows = cur.fetchall()

• OSコマンドインジェクション対策のポイント：
  • 外部コマンド実行を避ける。どうしても使うなら引数をエスケープせずに渡さない、言語の安全APIを使う。入力はホワイトリストで検証する。
• XSS対策のポイント：
  • 出力時に適切にエスケープ（HTMLエスケープ）、CSPの導入、CookieにHttpOnlyを設定してJavaScriptから読み取れないようにする。
• セッションハイジャック対策のポイント：
  • HTTPS必須、CookieにSecure/HttpOnly/SameSite属性、短めの有効期限と操作時のID再生成、異常なアクセス（IPやUAの急変）での強制再認証。

FAQ