Webアプリケーションとは？

Webアプリケーションの意味

利用者がブラウザから操作し、処理はサーバ側で行う形式のアプリケーション。社内システムも社外向けサービスもこの形が主流で、インターネットに面する分だけ攻撃を受けやすい。開発時の作り込みと公開後の脆弱性対応の両方が管理者に求められる点が問われる。

Webアプリケーションの具体例

自社の問い合わせフォームから迷惑メールが大量送信された。調査の結果、入力内容の検証が不十分で悪用されていたことが判明し、開発委託先に修正を依頼するとともに、公開前に脆弱性診断を実施する手順を開発標準へ追加した。

Webアプリケーションは試験でどう引っ掛けられる？

「社内向けだから対策は不要」は誤り。内部不正や侵入後の横展開の入口になる。またブラウザ側の入力チェックだけでは防げず、サーバ側での検証が必須である点も混同されやすい。

Webアプリケーションと関連する用語

• セキュアプログラミング（入力値検証）
• Cookie
• API連携

Webアプリケーションが出た過去問

• クロスサイトスクリプティングの手口はどれか。

  正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。

  要点：XSSは他人のブラウザで悪意のスクリプトを実行させる

  クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）

• クライアントとWebサーバの間において、クライアントからWebサーバに送信されたデータを検査して、SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPリクエストの中身を解析し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を突く攻撃パターンを検出して遮断する。通常のファイアウォールが見ないアプリケーション層のデータを検査する点が特徴である。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）

• クロスサイトスクリプティングに該当するものはどれか。

  正解：攻撃者が罠を仕掛けたWebページを利用者が閲覧し、当該ページ内のリンクをクリックしたときに、不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ、レスポンスに埋め込まれた不正スクリプトの実行によって、情報漏えいをもたらす。

  要点：XSSは応答に埋め込まれた不正スクリプトが閲覧者側で実行される

  クロスサイトスクリプティングは、Webアプリケーションが利用者からの入力を適切にエスケープせずに応答へ埋め込んでしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが被害者のブラウザ上で実行され、クッキーの窃取などの被害につながる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問21（IPA）

• WAFの説明として，適切なものはどれか。

  正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な通信を遮断する。

  要点：WAFはWebアプリあての通信内容を検査し不正な要求を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションあての通信内容を検査し、攻撃に特徴的なパターンを含む不正なリクエストを遮断する。ネットワーク層で通す・通さないを決める従来のファイアウォールでは防げない攻撃に対応する。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問20（IPA）

• WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち、適切なものはどれか。

  正解：ブラックリストは、問題がある通信データパターンを定義したものであり、該当する通信を遮断又は無害化する。

  要点：WAFは通信パターンの黒白リストで攻撃を遮断する

  WAFはWebアプリケーションへの通信内容を検査する仕組みで、ブラックリスト方式は攻撃に特徴的なパターンを定義しておき、合致した通信を遮断または無害化する。逆にホワイトリスト方式は正常と判断できる通信パターンだけを許可する。どちらもIPアドレスやFQDNの良し悪しを登録するものではない点に注意する。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問29（IPA）