システムアーキテクト 2016年午前2 問24

問題文

安全なWebアプリケーションの作り方について、攻撃と対策の適切な組合せはどれか。

選択肢

ア：（正解）

イ：

ウ：

エ：

安全なWebアプリケーションの作り方について、攻撃と対策の適切な組合せはどれか【午前2 解説】

要点まとめ

結論：SQLインジェクションには静的プレースホルダを使ったSQL文の組立てが有効な対策です。
根拠：動的にSQL文を組み立てると悪意ある入力がSQL文に混入しやすく、静的プレースホルダはこれを防ぎます。
差がつくポイント：攻撃の特徴と対策の具体的な技術的手法を正確に理解し、誤った対策を選ばないことが重要です。

正解の理由

SQLインジェクションは、ユーザ入力を直接SQL文に組み込むことで不正なSQLが実行される攻撃です。静的プレースホルダ（プリペアドステートメント）を使うと、SQL文の構造とデータ部分が分離され、悪意ある入力がSQL文として解釈されなくなります。これにより、SQLインジェクションを効果的に防止できます。

よくある誤解

クロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）など他の攻撃と対策を混同しやすい点に注意が必要です。対策は攻撃の種類に応じて適切に選ぶことが重要です。

解法ステップ

各攻撃の特徴を理解する（SQLインジェクション、XSS、CSRF、セッションハイジャック）。
それぞれの攻撃に対して一般的に推奨される対策を確認する。
選択肢の対策が攻撃の防止に適切かどうかを検証する。
不適切な対策を除外し、正しい組合せを選ぶ。

選択肢別の誤答解説

ア SQLインジェクション：静的プレースホルダを使う対策は正しい。
イクロスサイトスクリプティング：外部サイトのスタイルシートを取り込むことは対策にならず、むしろ危険。XSS対策は入力のエスケープやコンテンツセキュリティポリシーの設定が有効。
ウクロスサイトリクエストフォージェリ：GETメソッドの使用はCSRF対策にならず、むしろ副作用のある操作はPOSTにすべき。CSRFトークンの利用が正しい対策。
エセッションハイジャック：固定のセッションIDはセッション固定攻撃を招くため逆効果。セッションIDは利用者ごとに動的に生成し、適切に管理する必要がある。

補足コラム

SQLインジェクション対策としては、プリペアドステートメントのほかに入力値の検証や最小権限のデータベースアクセスも重要です。XSS対策では、HTMLエスケープやCSP（Content Security Policy）の導入が効果的です。CSRF対策にはトークンの利用やSameSite属性付きクッキーの活用が推奨されます。セッション管理はHTTPSの利用やセッションタイムアウト設定も含めて総合的に行う必要があります。