web開発をする上で、脆弱性を考えることは避けて通れません。
悪意のある人は、セキュリティ上の穴や弱みを巧みに利用し、サイバー攻撃やデータの取得といった攻撃を仕掛けてくるからです。
今回はWeb開発において最も重要な３大脆弱性とその対策について、実践的な視点から解説していきます。
SQLインジェクション
SQLインジェクションは、悪意のあるSQLコードをアプリケーションに注入し、データベースを不正に操作する攻撃手法です。
主な影響
- データベースの情報漏洩
- データの改ざんや削除
- 認証のバイアス
効果的な対策
プリペアードステートメントの使用
// 危険な例
$query = "SELECT * FROM users WHERE username = '" . $username . "'";
// 安全な例
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);ORMの使用
# Django ORMの例
user = User.objects.filter(username=username).first()入力値のバリデーション
- 文字列の長さ制限
- 特殊文字のエスケープ処理
- 入力値の型チェック
データベース権限の最小化
データベースユーザには必要最低限の権限のみ与える。
例えば、アプリケーションが読み取り専用の場合、書き込み権限を与えない。
SQLインジェクションの具体的な内容についてはこちら。
SQLインジェクションとは何なのかまとめる
SQLインジェクションは、攻撃者が悪意のあるSQL文をデータベースに送り込み、不正にデータを取得したり、改ざんしたりする攻撃手法です。
matsunoki009en.blog
2024.08.11
クロスサイトスクリプティング（XSS）
XSSは、悪意のあるスクリプトをWebページに埋め込む攻撃手法です。
主な影響
- セッションハイジャック
- フィッシング詐欺
- マルウェアの配布
効果的な対策
出力エスケープの徹底
// 危険な例
element.innerHTML = userInput;
// 安全な例
element.textContent = userInput;CSPの実装
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.comHTTPヘッダーの適切な設定
- X-XSS-Protection
- X-Content-Type-Options
- Referrer-Policy
XSSについて具体的な内容が知りたい方はこちら。
XSS（クロスサイトスクリプティング）についてまとめる
はじめに普段何気なく利用しているWebサイトが、実はハッカーに狙われる危険性があることをご存知でしょうか？その中でも有名な攻撃手法の一つに、XSS（クロスサイトスクリプティング）というものがあります。XSSはWebサイトの脆弱性を悪用して、...
matsunoki009en.blog
2024.10.12
クロスサイトリクエストフォージェリ（CSRF）
CSRFは、認証済みユーザーに意図しない操作を実行させる攻撃手法です。
主な影響
- 不正な送金
- パスワード変更
- 重要データの改ざん
効果的な対策
CSRFトークンの実装
# Flaskでの実装例
from flask_wtf.csrf import CSRFProtect
csrf = CSRFProtect(app)
@app.route("/transfer", methods=["POST"])
@csrf.protect()
def transfer_money():
# 処理の実装SameSite属性の設定
Set-Cookie: session=123; SameSite=Strict追加の認証
- 重要な操作時の再認証
- 2要素認証の導入
- リファラチェック
3大脆弱性のまとめ
以上がWebセキュリティにおける3大脆弱性と対処法でした。
これらの3大脆弱性への対策は、多層防御の考え方で実装することが重要です。
- 予防的対策
- 適切な設計
- セキュアコーディング
- フレームワークの活用
- 検出的対策
- ログモニタリング
- WAFの導入
- 定期的なセキュリティスキャン
- 事後対策
- インシデント対応手順の整備
- バックアップの定期取得
- 復旧手順の確認
セキュリティ対策は一度実装して終わりではなく、継続的な改善が必要です。
定期的なセキュリティ診断や、最新の脆弱性情報のキャッチアップを忘れずに行いましょう。
