 |
 |
記事検索 |
最新ニュース |
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
ラック、企業にSQLインジェクションへの対策を促すレポートを公表 |
||||||||
|
||||||||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
ラックは3日、SQLインジェクションの現状や被害の事例などを紹介した「SQLインジェクション緊急レポート」を公開した。 同レポートは、ラックのセキュリティオペレーションセンター「JSOC」で観測した事例に基づき、SQLインジェクションの手法や現状などを解説したもの。SQLインジェクションは、WebサーバーへのリクエストにSQL文を挿入することで、Webサーバーと連動しているデータベースサーバーを操作する攻撃手法のこと。SQLインジェクションが行なわれると、データベースの情報を参照され、機密情報や個人情報が漏洩する可能性があるほか、データベースの情報の不正な書き換えや、サーバーへの不正侵入などにもつながる恐れがある。 JSOCが検知したSQLインジェクションの攻撃件数は2005年後半から急増し、2006年1月には1カ月で60件以上の攻撃があり、10件以上の被害を確認したという。SQLインジェクションによる攻撃は、ほとんどの場合は短期間に複数のリクエストが1つのWebサイトに送信されており、専用の攻撃ツールの利用が考えられるという。 SQLインジェクションは中国からの攻撃が81％を占めており、その理由については中国語のサイトでSQLインジェクション攻撃を実行するツールが数多く配布されていることが原因の1つと分析。こうした攻撃を行なうツールの中には、GUIによる操作で誰でも実行できるようになっているものも配布されており、技術力の低い者も攻撃を行なっている可能性があるとしている。 SQLインジェクションの攻撃対象となっているのは、マイクロソフトのActive Server Pages（ASP）が52％と半数以上を占めており、PHPは8％、その他は40％としている。理由についてラックでは、ASPを利用するシステムの多くはMicrosoft IISとMicrosoft SQL Serverを利用しており、「.asp」という拡張子から攻撃対象を限定可能であることや、アプリケーション開発の敷居が低く経験が浅い開発者でも開発が可能であること、公開されている攻撃ツールの多くがASPを対象としていることを挙げている。 また、攻撃対象も特定の著名なサイトだけでなく、複数のサイトに対して無差別に攻撃が行なわれるようになってきているため、Webサーバーを公開している組織であれば攻撃される可能性があると指摘。SQLインジェクションが行なわれた場合の多くはWebサーバーのログにそのリクエスト内容が記録されるため、ログを確認して情報漏洩が発生していないかをすぐに確認することを求めている。 また、ラックではレポート提供に合わせて、攻撃に備えたWebサーバーの点検手順などを記載したページ「緊急告知 SQLインジェクション対応 点検特集」を公開しており、サーバー管理者などに対して注意を呼びかけている。 関連情報 ■URL ニュースリリース（PDF） http://www.lac.co.jp/news/pdf/20060303.pdf JSOC SQLインジェクション緊急レポート（PDF） http://www.lac.co.jp/news/pdf/20060303_lac_report.pdf 緊急告知 SQLインジェクション対応 点検特集 http://www.lac.co.jp/business/sns/specialissue/kinkyutop.html
（ 三柳英樹 ）
- ページの先頭へ-
|
