Webアプリケーション開発者必見！セキュリティ対策６選

普段、日常生活において当たり前のように利用されているWebアプリケーション。

適切なセキュリティ対策を行うためには、セキュリティ事故によるリスクとサイバー攻撃の具体的手法についてよく理解しておかなければなりません。

本稿では、Webアプリケーションの開発者が注意すべきサイバー攻撃と、求められるセキュリティ対策について解説していきます。

セキュリティ事故によるリスク

脆弱性とは、Webアプリケーションなどを開発している段階で発生するセキュリティ上の欠陥のことで、１つでもあると攻撃者に狙われてしまう可能性があります。

人が手作業で開発する以上、プログラムの脆弱性をゼロにすることは現実的に難しく、脆弱性対策は常につきまといます。脆弱性を放置したままWebアプリケーションを公開すると、以下のようなリスクが発生します。

1. 顧客情報の漏えい
2. Webサイトの改ざん
3. ユーザー端末のマルウェア感染
4. ユーザーアカウントの悪用
5. 企業の社会的信用失墜、訴訟リスク

WAFとは

Webアプリケーションファイアウォール（WAF：Web Application Firewall）は、ウェブサイトに対するアプリケーションレイヤの攻撃対策に特化したセキュリティ対策です。

サイバー攻撃の具体的手法

ここでは、代表的なサイバー攻撃手法についてご紹介します。

１．SQL インジェクション攻撃

データベースと連携したWebアプリケーションの多くは、ユーザーからの入力情報をもとにSQLでデータベースから情報を参照・更新します。

プログラムに脆弱性がある場合、アプリケーションが想定しないSQL文を実行することによりデータベースの不正利用を招くSQLインジェクション攻撃を受ける危険があります。

２．DDoS攻撃

標的のコンピュータに対して、複数のコンピューターを使用して、一斉に大量の負荷を与えることで、Webサービスを機能停止へ追い込む攻撃です。

攻撃を実行するために、攻撃者は予め無関係のマシンにボットと呼ばれる攻撃ネットワークを構築します。 

３．クロスサイトスクリプティング攻撃

ユーザーからの入力内容を表示するWebアプリケーションに、悪意のあるスクリプトを埋め込んだり、実行させる攻撃です。

Webサイトへのアクセスで使用するセッション情報が盗まれたり、偽のページへ誘導されてクレジット情報が盗まれるなどの被害に遭う恐れがあります。

求められるセキュリティ対策

サイバー攻撃に対するセキュリティ対策を行う上では、脆弱性がないWebアプリケーションを開発することを基本とし、Webアプリケーション公開後に脆弱性を発見した場合には、できる限り早く改修を行わなければなりません。

次に、具体的な対策例をいくつかご紹介していきます。

１．ソフトウェアの脆弱性対策

Webアプリケーションは、様々なソフトウェア・フレームワークを組み合わせて構成されています。それらのソフトウェア・フレームワーク自体にも脆弱性が散見されるため、定期的にバージョンアップやパッチ適用を行う必要があります。

開発責任者は、どのバージョンのソフトウェア・フレームワークが導入されているかをしっかり把握し、迅速な対策を取れるようにしておく必要があります。

例えば、代表的なCMSであるWordPressでは複数のプラグインが使用されていますが、このプラグイン自体の脆弱性も考慮しなければなりません。

２．不要なアカウントを削除

Webアプリケーションに不要なアカウントが登録されている場合は削除するように心がけましょう。

開発初期のテストアカウントなどは簡単なパスワードを設定していることもありますので、アカウントの棚卸を実施し、使用していないアカウントを削除するだけでも悪用されるリスクは軽減されます。

３．複雑なパスワードを設定

覚えやすい簡単なパスワードを設定していると、パスワードが推測されてしまったり、ユーザーIDやパスワードを総当りで検証する攻撃、「ブルートフォースアタック」により、不正にログインされる可能性があります。

CMSなどの管理ページのアクセス権を奪取されてしまうと、攻撃者の意のままにサイトを操られてしまいますので、パスワードは複雑なものを使用し、定期的に変更しましょう。また、多要素認証も効果的です。

４．ファイルやディレクトリへのアクセスを制限

アクセス制御が不適切で、Webサーバーのファイルやディレクトリに第三者からアクセスされてしまった場合、ファイルの書き換えや不正プログラムが実行されるかもしれません。そうならないためにも、必要最小限のファイルのみ、閲覧・実行権限を付与するようにしましょう。

５．ネットワークのセキュリティ対策

ファイアウォールやIDS/IPSは、外部ネットワークからのアクセスを常に監視して、不正アクセスを監視・ブロックするためのシステムです。Webサーバーに対する不正アクセスを検知するWAFを併せて利用すると良いでしょう。

Webアプリケーションの脆弱性が発覚した際、すぐさま対処できないケースも多いのが実情ですが、WAFを導入していれば脆弱性を狙った攻撃を遮断することができます。

予め攻撃されることを想定したセキュリティ対策も有効に活用しましょう。

６．Webサイトの常時SSL化

Webサイトに対する全通信を暗号化する常時SSLが普及しています。第三者による通信の盗聴や改ざんを防ぐために必須の対策です。

以前は決裁ページや問い合わせフォームなど、個人情報を入力するページだけをSSL化することが普通でしたが、現在は常時SSLが当たり前となっていますので、忘れずに対応するようにしましょう。

まとめ

今回の記事では、Webアプリケーションのセキュリティ対策について、以下の観点からご紹介してきました。セキュリティに対する関心が高まったのではないでしょうか。

• セキュリティ事故によるリスク
• サイバー攻撃の具体的な手法
• 求められるセキュリティ対策

Webサイトへのセキュリティ対策が必要と感じた方は、WAFなどのソリューションによる対策をご検討ください。

WAFとは～WAF選定・導入のポイントとSiteGuardが選ばれる理由～

EG セキュアソリューションズが提供するソリューションである WAF（Web Application Firewall） の概要、WAFの選定・導⼊のポイントについて解説しています。
シリーズ累計150万サイト超を保護する「SiteGuardシリーズ」が選ばれる理由についても紹介しています。