平成３０年度 春期 情報処理安全確保支援士試験 午後Ⅱ問２過去問題解説 ‐ システム管理者の事件簿:サクラとモモのセキュリティ演習

Описание: 本動画では、平成30年度春期午後Ⅱ問2を題材に、Webサイトの改ざんインシデント対応から脆弱性診断の内製化までのプロセスを解説します。アクセスログに残らない攻撃の特定方法や、SQLインジェクション、DOM Based XSSといったWebアプリ特有の脆弱性のメカニズム、さらに開発委託先へのセキュリティ要求事項まで、実務に直結する知識を網羅的に学習できます。

Webセキュリティの実務においてまず理解すべき重要な点は、Webサーバのアクセスログだけでは検知できない攻撃が存在するという事実です。一般的なWebサーバの標準設定では、GETリクエストのパラメータはログに記録されますが、POSTメソッドで送信されるリクエストボディの内容までは記録されません。そのため、攻撃コードがPOSTデータ内に潜んでいる場合、ログの分析だけでは攻撃の痕跡を見つけることができず、原因究明が遅れるリスクがあります。こうしたログの死角を理解した上で、改ざんの有無を確実に見極める手法として有効なのが、稼働中の本番サイトと、災害対策用などで運用されているホットスタンバイ環境の正常なファイル群との比較です。ハッシュ値などを用いて全ファイルを突合することで、意図しない変更を漏れなく検知することが可能になります。また、管理用のSSHポートに対する辞書攻撃などのリスクに対しては、安易なパスワード認証を廃止し、公開鍵認証方式へ移行するといった基盤側の対策も不可欠です。

次に、Webアプリケーション固有の脆弱性診断技術について深く掘り下げます。特にSQLインジェクションの診断においては、単に攻撃コードを送るだけでなく、論理演算の結果によってデータベースがどのように応答するかを確認する手法が問われます。例えば、検索条件に「真」となる条件（'1'='1'）と「偽」となる条件（'1'='2'）を付加した際の検索結果の件数差を観察することで、SQL文が外部から操作可能かどうかを判定するブラインドSQLインジェクションの基礎となる考え方は必須の知識です。また、クロスサイトスクリプティング（XSS）の中でも、サーバからのレスポンスではなく、クライアント側のJavaScriptがURLの一部などを不用意に処理することで発生するDOM Based XSSも見逃せません。特にwindow.openerなどを経由して親ウィンドウのDOMを操作されるリスクなど、従来の反射型XSSとは異なる発生メカニズムを理解する必要があります。さらに、アクセス制御の不備や認可制御の欠落も重大なインシデントにつながります。一般ユーザがリクエストパラメータ内の商品コードなどを直接書き換えることで、本来購入できないはずの限定商品を購入できてしまうといった論理的な脆弱性は、自動診断ツールでは検出が難しく、権限の異なる複数のアカウントを用いた手動診断によって、許可された操作の範囲を厳密に検証することが求められます。

最後に、これらの脆弱性を作り込まないための開発プロセスの改善、いわゆるシフトレフトの重要性についても触れます。脆弱性診断で見つかった欠陥を修正する対症療法にとどまらず、設計や実装の各工程においてセキュリティ要件が満たされているかを確認し、その証跡として詳細なレビュー記録を残すことを委託先に義務付けるなど、開発ライフサイクル全体を通じた品質管理体制の構築こそが、恒久的なセキュリティ対策の鍵となります。