平成25年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問15

✓ これが正解ウバインド機構を利用する。 ／ データベースのアカウントのもつデータベースアクセス権限を必要最小限にする。

解説

バインド機構と DB 権限の最小化が SQL インジェクション対策です。

SQL インジェクションは、入力値に SQL の一部を紛れ込ませ、アプリケーションに意図しない SQL 文を実行させる攻撃です。実装での根本的な対策は、バインド機構の利用です。SQL 文の形を先に確定させ、入力値は値としてだけ埋め込むので、入力が SQL 文の構造を変えられなくなります。実装以外の対策としては、データベースのアカウントがもつアクセス権限を必要最小限にします。万一攻撃が通っても、被害の範囲を狭められます。各選択肢は二つの欄の組なので、見分ける軸は、両方の対策が同じくこの攻撃に向けたものかどうかです。

ほかの選択肢はなぜ違うのか

• アWeb アプリケーション中でシェルを起動…：シェルを起動しないことと chroot 環境での実行は、OS コマンドインジェクションへの備えです。OS のコマンドを勝手に実行される事態を防ぐもので、SQL 文の改変には効きません。
• イセッション ID を乱数で生成する。 ／…：セッション ID を乱数で作ることと SSL による秘匿は、セッションハイジャックや盗聴への備えです。通信やセッションを守る対策で、入力値で SQL 文を書き換えられる問題は残ります。
• エパス名やファイル名をパラメタとして受け取…：パス名やファイル名を受け取らないことと、重要なファイルを公開領域に置かないことは、ディレクトリトラバーサルへの備えです。ファイルの不正な読出しを防ぐ対策に当たります。