Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IPA、「対SQLインジェクション攻撃」用資料を公開 - 安全なソースコードの書き方を収録

情報処理推進機構(IPA)は、SQLインジェクション攻撃の被害を防止するため、ウェブアプリケーションにおける安全なプログラミング方法を解説した資料「安全なSQLの呼び出し方」を公開した。

SQLインジェクション攻撃は、ウェブアプリケーションの脆弱性などを利用し、データベースに対して運営者の意図とは異なる「SQL命令」を実行するもので、情報漏洩や改ざんが発生するおそれがある。

100318ip.jpg
SQLインジェクションの発生するメカニズム(図:IPA)

SQLインジェクション攻撃は、2008年から2009年前半にかけて大量の攻撃が観測された。ピーク時に比べれば攻撃は減っているとの報告があるものの、2009年1月から2010年2月までの同機構が運営している「JVN iPedia」に対する攻撃を分析すると、約45%が「SQLインジェクション攻撃」であるなど、引き続き多くの攻撃が発生しているという。

さらに、一部オープンソースにおいて安全性が検証されていないものが存在したり、一般的な対策を実施していても、プログラミング言語やデータベースのエンジンに起因して、攻撃を受ける可能性があるなど、同機構では対策の重要性を指摘している。

今回公開した資料は、以前より同機構が提供している「安全なウェブサイトの作り方」の別冊で、ウェブアプリにおけるSQLの実装方法を解説。発生原因からプログラミング言語とデータベースにおける安全なソースコードの書き方などを収録した。全40ページで、同機構のウェブサイトよりダウンロードすることができる。

安全なウェブサイトの作り方
http://www.ipa.go.jp/security/vuln/websecurity.html

情報処理推進機構(IPA)
http://www.ipa.go.jp/

(Security NEXT - 2010/03/18 ) このエントリーをはてなブックマークに追加

PR

関連記事

覆面調査サービスに不正アクセス、PWなど漏洩 - WAF設定ミスで攻撃防げず
園芸振興センターの会員情報が流出、一時ダークウェブ上に - 宝塚市
2018年1Qの脆弱性届出は138件 - 前四半期から倍増
2018年1Qの脆弱性登録は3113件 - Linux関連が上位に
「サイボウズGaroon」に複数の脆弱性 - アップデートがリリース
不正アクセスで認定医情報が流出か - 日本がん治療認定医機構
船舶向けの帯域管理ソリューションに複数の脆弱性
セキュリティリリース「Joomla 3.8.6」が公開 - 「SQLi」を解消
「Joomla!」にセキュリティアップデート - SQLiやXSSの脆弱性を修正
2017年4Qの脆弱性届出は70件 - ソフトウェア関連が大幅減