Webアプリケーションとは？

Webアプリケーションの意味

利用者がブラウザから操作し、処理はサーバ側で行う形式のアプリケーション。社内システムも社外向けサービスもこの形が主流で、インターネットに面する分だけ攻撃を受けやすい。開発時の作り込みと公開後の脆弱性対応の両方が管理者に求められる点が問われる。

Webアプリケーションの具体例

自社の問い合わせフォームから迷惑メールが大量送信された。調査の結果、入力内容の検証が不十分で悪用されていたことが判明し、開発委託先に修正を依頼するとともに、公開前に脆弱性診断を実施する手順を開発標準へ追加した。

Webアプリケーションは試験でどう引っ掛けられる？

「社内向けだから対策は不要」は誤り。内部不正や侵入後の横展開の入口になる。またブラウザ側の入力チェックだけでは防げず、サーバ側での検証が必須である点も混同されやすい。

Webアプリケーションと関連する用語

• セキュアプログラミング
• Cookie
• API連携

Webアプリケーションが出た過去問

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）

• SQLインジェクション攻撃の説明として，適切なものはどれか。

  正解：Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除をする攻撃

  要点：SQLインジェクションは入力値でSQL文を書き換える攻撃

  SQLインジェクションは、入力値をそのままSQL文に連結してしまう実装の不備を突く攻撃である。攻撃者が引用符や論理式を含む文字列を送り込むと、開発者の意図しないSQL文が組み立てられ、データの不正取得・改ざん・削除が起きる。対策としてはプレースホルダを用いた文の組立てが基本になる。

  出典：平成28年度 春期 基本情報技術者試験 午前 問37（IPA）

• SQLインジェクション攻撃の説明はどれか。

  正解：Webアプリケーションに問題があるとき、悪意のある問合せや操作を行う命令文をWebサイトに入力して、データベースのデータを不正に取得したり改ざんしたりする攻撃

  要点：SQLインジェクションは入力経由でDBに不正なSQLを実行させる

  SQLインジェクションは、入力値の検証やエスケープが不十分なWebアプリケーションに対し、SQL文として解釈される文字列を送り込み、開発者が意図しない問合せや更新をデータベースに実行させる攻撃である。情報の不正取得、改ざん、削除につながる。プレースホルダ（バインド機構）の利用が根本的な対策となる。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問39（IPA）

• ディレクトリトラバーサル攻撃に該当するものはどれか。

  正解：攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

  要点：ディレクトリトラバーサルはパス指定を細工した不正閲覧

  ディレクトリトラバーサルは、ファイル名を受け取るWebアプリケーションに対して「../」などを含むパスを与え、本来公開する意図のない上位ディレクトリのファイルを読み出させる攻撃です。パスの検証不足が原因なので、入力値の正規化や、指定できる範囲を限定する対策が有効です。

  出典：平成29年度 春期 基本情報技術者試験 午前 問37（IPA）

• 図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適切な箇所はどこか。ここで,WAFには通信…

  正解：c

  要点：WAFは復号後の平文HTTP区間に置かないと検査できない

  WAFはHTTPの中身（リクエストのパラメタなど）を検査してWebアプリケーションへの攻撃を防ぐ装置である。本問のWAFは暗号化・復号の機能をもたないため、HTTPSで暗号化されたままの区間に置いても中身を検査できない。SSLアクセラレータで復号された後、Webサーバの手前にあたる平文HTTPの区間に設置するのが適切である。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）