セキュリティ対策強化のために新しいシステムを導入することも大切ですが、まずサイバー攻撃の種類や手口について理解することが必要です。一言でセキュリティ対策と言っても多種多様なものが存在しますので、目的に応じて適切なソリューションを選択することが重要となります。本稿では、「セッションハイジャック」というサイバー攻撃について解説します。Webサイトを狙ったこの攻撃にはどのような特徴があるのか？また、どのような対策が必要なのか？ぜひ参考にしてください。
セッションハイジャックとは？
サイバー犯罪者の多くはさまざまな手口によって情報の窃取を企んでいます。セッションハイジャックはそうしたサイバー攻撃の一種で、コンピュータ間の通信におけるセッションを第三者が乗っ取る攻撃手法です。HTTPにおけるセッションハイジャックは、文字通りWebサイトのユーザーセッションを乗っ取る攻撃となります。昨今、ECサイト等の利用でユーザーがIDやパスワードを入力してログインするWebサイトは当たり前になっており、ユーザーのログイン状態や行動を管理するためにセッションIDが活用されています。これは、WebサーバーやWebアプリケーションがサイトにアクセスしたユーザーおよびその状態を識別するための情報です。セッションIDはURLに保持されることもありますが、Cookieを用いてやりとりされることが一般的になっています。
こうして保持されるセッションIDが第三者の手に渡ったとしたらどうなるでしょうか？当然ながら、第三者はそのユーザーに成りすましてWebサイトにアクセスし、悪用するという行動をとるでしょう。攻撃者としては、ユーザーのクレジットカード情報や個人情報を窃取することも簡単であり、注意が必要です。
なぜセッションハイジャックが起きてしまうのか？
セッションハイジャックにより直接的な被害を受けるのはユーザーです。そのため、Webサイトの運営者は徹底したセキュリティ対策に努める必要があります。適切な対策が行われていないとセッションハイジャックが起こる可能性があるのです。では、その原因は何なのでしょうか？
原因1. 推測されやすいセッションIDを設定している
どのようにセッションIDを付与するかはWebサイト側の仕様により決定するものです。その際に、数値の連番や日付などの推測されやすいセッションIDを設定していると、セッションIDを簡単に推測されてしまい、Webサイトにとって大きな脆弱性になります。
原因2. ウェブアプリケーションの脆弱性による漏えい
なんらかの脆弱性を悪用した不正アクセスにより、セッションIDを窃取されることがあります。代表的な攻撃として、クロスサイトスクリプティング（XSS）というサイバー攻撃によりセッションIDが漏えいすることがあります。
関連記事：WAFによるクロスサイトスクリプティング（XSS）対策
原因3. セッションIDの固定化（セッションフィクセーション）
さらに狡猾な手口としてセッションID固定化（セッションフィクセーション）があります。攻撃者は通常ユーザーとして有効なセッションIDを取得します。次に、罠を仕掛けるなど、標的となるユーザーに対して取得済みのセッションIDを強制し、ユーザーがWebサイトにログインするように仕向けます。結果、攻撃者が事前に取得していたセッションIDにより、なりすましに悪用されてしまいます。
セッションハイジャックを防御するための対策は？
セッションハイジャックを防御するための基本的な対策は、「攻撃者にセッションIDを推測させない、漏えいさせない」ことです。
対策1. URLにセッションIDを含めない
WebサイトとユーザーがセッションIDをやりとりする際、セッションIDがURLに保持されている場合があります。RefererヘッダからセッションIDが漏えいする可能性があるなど、ユーザーのセッションIDが様々な箇所から流出、推測されやすくなるため、CookieによるセッションIDの管理に変更することが適切です。
対策2. セッション管理機構を利用する
自作のセッション管理機構の不備により、セッションIDが推測可能な状態になってしまうことを回避するため、Webアプリケーション開発ツールやフレームワークに実装されているセッション管理機構を利用するようにしましょう。
対策3. セッションIDの変更
ログイン後に既存のセッションIDを破棄し、新たにセッションIDを発行するようにしましょう。これにより、ログイン後のセッションIDが攻撃者に分からなくなり、セッションフィクセーションの対策となります。
WAFによるセッションハイジャック対策
Webサイトを狙ったサイバー攻撃に特化したセキュリティ対策製品にWAF（Web Application Firewall）があります。WAFを活用することで、クロスサイトスクリプティング（XSS）を悪用したセッションIDの漏えいを防ぐことができるほか、SQLインジェクションやOSコマンドインジェクション、ディレクトリトラバーサルといった様々な攻撃からWebサイトを保護することができます。前述したセッションハイジャックの対策と組み合わせることで、Webサイトのセキュリティレベルを向上させることができます。
ジェイピー・セキュアは、イー・ガーディアングループの一員として、ゲートウェイ型とホスト型に対応した国産ソフトウェアWAF「SiteGuardシリーズ」を提供しています。販売開始から12年、業種・業態を問わず数多くの導入実績をもち、レンタルサーバー事業者での標準採用もあって、保護対象サイト数は100万を超えています。また、同じグループの一員であるグレスアベイルより、DDoS対策も可能な国産クラウド型WAF「GUARDIAX」が提供されています。国産製品・サービスの場合、管理インタフェースやマニュアルの日本語対応はもちろんのこと、開発から販売、テクニカルサポートまで、お客様の安心感と満足感につながる国内クローズの対応が可能です。
イー・ガーディアングループでは、サイバー攻撃に対するソリューションのひとつであるWAFについて、様々なウェブサイトの環境に適合できるソリューションを提供しています。
ワンランク上のウェブサイトのセキュリティ対策に、ぜひWAFの導入を検討してみてください。
※株式会社ジェイピー・セキュア、株式会社グレスアベイルは、イーガーディアン株式会社のグループ企業です。
この記事に関する製品のご紹介
ホスト型WAF「SiteGuard Server Edition」
SiteGuard Server Editionは、ウェブサーバーのモジュールとして動作するホスト型WAF製品です。Webサーバー自体にインストールするため、専用ハードウェアが必要ありません。ネットワーク構成を変更せず、できるだけシンプルに導入したいお客様に最適な製品です。
詳細はこちら
