Webアプリケーションのセキュリティ

■ Webハッキング・インシデントの傾向

　オープンな業界団体の一つである Web Application Security Consortium (WASC) は、Webアプリケーションのセキュリティ脆弱性の原因によって、Webハッキングされたインシデントのデータベース　（The Web Hacking Incidents Database=WHID)　を作成し公表しています。このデータベースは、メディアによって報告された信頼性が高いインシデントのみを用いているため、数的には大きなサンプル数ではありません。しかし、現在の Webハッキングの攻撃方法の傾向は、このインシデント調査によってよく表されているものと思われます。しかし、これらは氷山の一角であり、Webハッキングの絶対数はさらに多いものと予想されます。また、Webアプリケーションに対する攻撃は、2005年より増加傾向を示しておりますので、今後のセキュリティの脅威として注意すべきでしょう。

　以下の表は、インシデントをWASC脅威分類によって整理した攻撃方法の統計を表したものです。日本においては、Webアプリケーションの脆弱性への脅威として、「クロスサイトスクリプティング」や「SQLインジェクション」等による攻撃リスクのみを話題にする傾向が多いようですが、この表に示したとおり、攻撃の手口は多岐に渡ります。「SQLインジェクション」は、確かに大量に情報が漏洩するリスクとして注意すべき脅威ですが、実は、それ以上にセッション管理に係る欠陥に対する攻撃数が多いことが分かります。これは、WASC分類では、主に、「承認(Authorization)」に属します。下記の表では、背景がクリーム色のものが相当します。セッション管理に係る脆弱性は、サイト運営者は往々にして気づかない場合も多く、問題が発覚した時もその痕跡を追うことが難しいと言う特徴があります。セッション管理に係るインシデントが多いのは、今までこうした脆弱性に対して、体系化された検査手法が確立されていなかったと言うことも一つの要因です。Webサイトの安全性を担保するためには、必ずセッション管理系の脆弱性、欠陥を排除することが必要となります。従って、Webセキュリティの監査並びに運用時のレビューにおいては、必ず、セッション管理に係る脅威に対する検査、対策を行うことをお勧めします。

インシデントの件数と攻撃の傾向　（WASC 脅威分類による）

■ Webセキュリティの脅威への対策

　Webアプリケーションの設計・開発では、Webセキュリティの脅威に関する知見を持つだけではなく、それに対するガイドラインに基づいて開発を行うことが必要です。一方、現実のWebサイトにおいては、未だにWebアプリケーションの脆弱性が潜在しているケースが非常に多いものと想定されます。このような場合には、Webアプリケーションの脆弱性に関する監査を早急に行うことが必要です。その際の検査方法とレビューの流れを以下に示しました。一般に、Webアプリケーションの脆弱性検査は、「スキャン方式」のツール等によってのみ行う風潮がありますが、上記の統計データで示したとおり、現在の攻撃方法が「セッション管理系の脆弱性」の盲点を突いたものの比率も大きいため、基本的な検査として必ず、「セッション管理系の検査」を行うべきです。この検査の方法には、手動で行う検査もありますが、問題に対して体系的に行うことができず検査品質も一定とはいえません。このようなことを回避するために、ソフテックが開発したセッション管理の脆弱性に特化した検査ツール WebProbe を使用して検査を行うことも一つの方法です。

　一方、Webアプリケーションファイアウォール（WAF)を使用して、こうした脅威に対する対策を施す組織も多くなってきました。しかし、「セッション管理系の脆弱性、欠陥」への脅威に対しては、Webアプリケーションファイアウォールは無防備です（次項を参照）。WAFを設置する場合においても、予め、既存のWebアプリケーションの検査を行い、そのレビューと改善を行った後にWAFの運用を行うことが望まれます。

■ Webセキュリティの脅威の分類と検査可能なツール対応表

　Web Application Security Consortium は、Webサイトのセキュリティに対する脅威を明らかするため、「Webセキュリティの脅威の分類（PDF)」として 6 領域 24 種類の体系化を行いました。Webアプリケーションに対する既知の攻撃を分類・特定し、業界標準の用語を作成し、各攻撃の分類名を統一することにより、Webサイトを脅かすセキュリティリスクを明確にすることを目的としています。これは、Webサイトが既知の脅威すべてに対し、設計・開発・レビューを行っているかどうかを判断するために、ガイドラインとして使用することができます。以下の表に、「脅威の分類」を纏めました。

　一方、現在運用中の Webアプリケーション上の脆弱性、欠陥を把握することも重要なことです。こうした脅威に対する脆弱性を体系的に調べるためには、一般に検査ツールを活用します。しかし、検査ツールは、以下に分類された全ての脅威に対して、その脆弱性、欠陥を検出することはできません。以下の表では検査ツールとして、「スキャン手法で行うツール」と「セッション管理に特化したツール WebProbe」の二つを例にとり、各攻撃の分類に対して、検査可能な対象を示しました。また、Webアプリケーションファイアウォールによって、一般的に対応可能な「攻撃」対象も示し、これら三つのツールの比較を行いました。　
　この表で理解できることは、セッション管理に係る欠陥（攻撃分類「承認」）は、「スキャン手法で行うツール」でも「Webアプリケーションファイアウォール」によっても検出、防御できないことです。ソフテックは、世界で初めて、こうしたセッション管理にかかわる脆弱性、欠陥の検出ツール WebProbe を開発しました。今までの手動検査に頼る方法では、多くの時間を必要とするだけでなく検査する個人のスキルに依存し、体系化された検査ができません。セッション管理に係る脆弱性、結果の検査においては、是非 WebProbe をご利用ください。

Webセキュリティの脅威の分類 (WASC分類）と対策ツール

各脅威に対する検査ツールの対応可能性に関しては、概ね対応可能とされるものを○印で、対応不可能なものを×印で示しました。なお、全てを保証するものではありませんのでご注意ください。

（出典）　Web Application Security Consortium http://www.webappsec.org/projects/threat/
　　　　　Copyright 2004, Web Application Security Consortium. All rights reserved.

上記の表の一部は、原著の内容を忠実に示すために、原著ドキュメント（日本語版）から抜粋、引用しました。なお、本原著は、オープン・コンテント許諾（ OpenContent License (OPL) ）に準拠しており、本許諾及び無保証に関する全ての記載を、以下に元のままの形で表示します。