サイバーセキュリティとインフラストラクチャセキュリティエージェンシー（CISA）は、SQLインジェクションの脆弱性を排除するための取り組みを倍増するよう企業に呼びかけた。SQLインジェクションは、プログラム開発中に検出・修正すべき13種類の「許されざる」脆弱性の一つとされている。この問題の根本原因は、アプリケーションが変数入力を受け取る際の入力の無害化が不足していることにある。
ソフトウェア開発者がSQLインジェクションを解決するための方法として、以下のステップが挙げられる。
1. 教育: OWASPのチートシートを利用してSQLインジェクションについて学び、安全なコードの作成方法を理解する。
2. DevOpsパイプラインの強化: 開発中にSQLインジェクションの欠陥をチェックするユニットテストの実装、コミット前後の静的アプリケーションセキュリティテストの追加、動的アプリケーションセキュリティテストの一環としてSQLインジェクションのスキャンを含める。
3. SQLMapの使用: SQLインジェクションを実験し、潜在的な脆弱性を悪用してデータベースをダンプするためのオープンソースプログラム。
4. DASTサービスの検討: 品質保証段階で、可能であればDevOpsパイプラインのさらに早い段階で、動的アプリケーションセキュリティテスト（DAST）を使用してSQLインジェクションスキャンを自動化する。
5. SQL以外の脆弱性への対応: SQLインジェクションだけでなく、他のタイプのインジェクション脆弱性にも注意し、開発者がリスクのあるパターンを認識するようにする。
これらのステップは、SQLインジェクションの問題を解決し、ソフトウェアのセキュリティを向上させるための基本的なアプローチを提供する。
【ニュース解説】
サイバーセキュリティとインフラストラクチャセキュリティエージェンシー（CISA）が、企業に対してSQLインジェクションの脆弱性を排除するための取り組みを倍増するよう呼びかけました。SQLインジェクションは、ウェブアプリケーションにおけるセキュリティの脆弱性の一つで、不正なSQLクエリを注入することによって、データベースから機密情報を不正に取得したり、データベースを改ざんする攻撃です。この問題は、プログラム開発中に検出・修正すべき「許されざる」脆弱性の一つとされています。
SQLインジェクションの根本原因は、アプリケーションが変数入力を受け取る際の入力の無害化が不足していることにあります。この脆弱性を解決するために、ソフトウェア開発者は以下のステップを踏むことが推奨されます。
1. **教育**: OWASPのチートシートを利用してSQLインジェクションについて学び、安全なコードの作成方法を理解することが重要です。これにより、開発者は脆弱性を意識したコーディングを行うことができます。
2. **DevOpsパイプラインの強化**: 自動化ツールを使用して、開発中にSQLインジェクションの欠陥をチェックするユニットテストを実装し、コードの安全性を確保します。
3. **SQLMapの使用**: SQLインジェクションを実験し、潜在的な脆弱性を悪用してデータベースをダンプするためのオープンソースプログラムを使用することで、開発者はSQLインジェクションの危険性をより深く理解することができます。
4. **DASTサービスの検討**: 動的アプリケーションセキュリティテスト（DAST）を使用してSQLインジェクションスキャンを自動化し、見落とされがちな脆弱性を発見します。
5. **SQL以外の脆弱性への対応**: SQLインジェクションだけでなく、他のタイプのインジェクション脆弱性にも注意し、開発者がリスクのあるパターンを認識することが重要です。
これらのステップを踏むことで、ソフトウェアのセキュリティを向上させ、SQLインジェクションによる攻撃から保護することが可能になります。しかし、これらの対策は、開発者の教育と意識の向上、セキュリティを考慮した開発プロセスの実施、そして継続的なセキュリティテストの実施が不可欠であることを示しています。
このような取り組みは、企業のデータ保護と顧客の信頼維持に直結するため、セキュリティ対策の強化は今後も重要な課題であり続けるでしょう。また、新たな技術の進化に伴い、攻撃手法も進化していくため、セキュリティ対策も常に最新の状態に保つ必要があります。
from How to Tame SQL injection.
