トップITセキュリティ週末スペシャル止まらないWebページ改ざん,JavaScriptに気をつけろ動画の再生障害のお知らせ:動画の一部が再生できない事象が発生しています。日経コミュニケーション2008.04.04コピーしましたPR国内で,一般消費者に向けたWebサイトへの改ざん攻撃が止まらない。悪質なサイトにユーザーを誘導してウイルスを送り込む“わな”が仕掛けられる。3月10日前後から12日までの間に,一斉にWebサイトがページを改ざんされた。最たる例が,セキュリティ対策ベンダーのトレンドマイクロである。海外のWebサイトを含め,2万サイト以上が被害に遭ったという。この日,ラックの監視センター(JSOC:セキュリティ・オペレーション・センター)では,通常の70倍から100倍の攻撃トラフィックを確認した。その後,いったん攻撃は止まったものの,攻撃が再開され,今も続いている。3月末には,デジタル・オーディオ・プレーヤなどを開発するクリエイティブメディアがWebページを改ざんされ,一時的にWebサイトを閉鎖していたことを明らかにした。■参考記事:相次ぐWebサイトへの攻撃,改ざんされたWebページが2万件にSQLインジェクションでiframeを埋め込み一連の攻撃の手口は,SQLインジェクションというWebアプリケーションのぜい弱性を突いたものだった。SQLインジェクションは,Webシステムのバックエンドにあるデータベースを不正に操作する攻撃。Webページで入力された不正なSQLコマンドをアプリケーション側で検知・排除できないために,データベースのデータを不正に参照・更新される。攻撃者はこの方法で,Webコンテンツにiframeタグを埋め込んだ。恐ろしいのは,埋め込まれるiframeタグに不正なJavaScriptが記述されていることだ。iframeは一つのWebページを区切って複数のコンテンツを表示させるためのHTMLタグ。このiframeは表示上はほとんど見えないように細工されている。このため,改ざんされたWebページを開くと,知らぬ間にiframeに埋め込まれた不正JavaScriptを自動実行し,悪質なサイトに誘導されたり,ブラウザやアプリケーション・ソフトのぜい弱性を突いて悪質なプログラムを勝手にダウンロードさせられたりするわけだ。トレンドマイクロの場合は,オンライン・ゲームのアカウント情報などを盗み出すウイルスを仕込まれようとしたと見られている。ほかの種類のウイルスを仕込まれる可能性もある。いずれにしても,攻撃者の背後には犯罪組織があり,狙っているのは最終的に金銭につながる機密情報の入手と見て間違いないだろう。今回の一連の攻撃は,日本のサイトを狙ったものと推測されている。改ざんされたWebコンテンツには,そのサインが残されている。「fuckjp.js」「fuckjp0.js」という名前のスクリプトだ。実は今回の攻撃でWebページに埋め込まれたのは,悪質サイトからこれらのスクリプトを読み込むように記述されたJavaScriptだった。このfuckjp.jsなどに,Webページにiframeを埋め込むコードが記述されていた。これらのスクリプトが置かれているのは「www.2117966.net」というサイト。このサイトのIPアドレスは中国のものである。iframe攻撃によって埋め込まれた不正プログラムが盗んだパスワードを送信する先も,中国のIPアドレスを持つサーバーだった。いって,一足飛びに中国人による犯行だとは言い切れないが,専門家によると,使われた攻撃ツールなどから考えて,背後には中国のサイバー犯罪組織の存在がありそうだという。エンドユーザーの対策はJavaScriptの無効化Webサイトにアクセスするユーザーにとっての対策は,使っているソフトウエアのセキュリティ・パッチをきちんと適用しておくことや,ウイルス対策ソフトとそのパターン・ファイルを常に最新版に更新しておくこと。改ざんされたWebページにアクセスしても,ユーザー側に攻められるぜい弱性がなければ被害には遭わない。送り込まれてくるウイルスが既知のものなら,ウイルス対策ソフトで検出,回避できる。それでも,未知のぜい弱性を悪用するウイルスなど,ウイルス対策ソフトが未対応のウイルスを送り込まれる可能性は否定できない。これを防ぐために一番効果的な策は,できるだけJavaScript実行させないことだ。実際は,全くJavaScriptを動かさないのではなく,必要なドメインに関してだけJavaScriptを動かすといった使い方が現実的だろう。Firefoxの拡張ソフトとして提供されている「NOSCRIPT」を使うと,JavaScriptを有効にするサイトと無効にするサイトを設定できる。無効にしていても,ブラウザの画面上で簡単に設定を変えられる。このほか,企業として対策を考えるなら,勝手なファイル・ダウンロードなどウイルスによる通信を遮断する手もある。プロキシ・サーバーに認証機能を持たせる。単純に,www.2117966.netなど,情報が明らかになっている不正サイトへの通信をフィルタリングしてもいいだろう。■参考記事:改ざんWebサイト対抗にHTTPプロキシ/認証プロキシの導入を■参考記事:NoScript●スクリプトの実行を禁止する■参考記事:ブラウザの設定変更で身を守る重要なのはWebサイト側の対策である。そもそも,Webサイト側でページを改ざんされなければ,エンドユーザーがこうした被害を受けることはない。SQLインジェクションは斬新な手口というわけではなく,ブラウザからの入力データのチェックという明確な対処法がある。入力されたデータが,Webアプリケーションからデータベースに要求する処理,あるいはそのパラメータとして適切かどうかをチェックして,不正なデータなら処理を止めればよい。具体的には,入力されたパラメータの長さや構成要素をチェックする。既存のWebサイトの場合,稼働中のWebアプリケーションが対象になるため,必ずしも対処は容易ではない。それでも,Webアプリケーション・ファイアウォールを使うなど,できることはある。現場の負担軽減を!医療界でのAWS活用法500万社が導入。情報銀行の成り立ち、事例、現状課題やその行方を網羅。経営戦略である以上、「会計」の知識やスキルが欠かせません。