情報セキュリティマネジメントインターネット技術の進化に伴い、サイバー攻撃手段も多様化しています。対策するもいたちごっこの状態が続いています。情報処理試験の中にも、セキュリティ情報を問う問題が増えてきています。毎年規定の講習を受けないと資格が維持されない仕組みとなっており、それだけ年々セキュリティ対策が変わっていることを示しています。入力された個人情報やクッキーから盗み取ったりする攻撃方法です。実は中で入力情報を盗聴されている状態です。「クロスサイトスクリプティング」の事例、件数の推移は?XSSによる脆弱性の届出件数は、他の脆弱性に比べて多くなっています。「ウェブサイトの届出件数の約5割」に相当する届出を受けています。不正アクセスによる被害が多数発生し色々なウェブサービスで被害を被る事象であることを示しています。動画共有サイトの米YouTubeを狙った攻撃があります。YouTubeのサイトを開き動画を再生すると、ショッキングなデマが流れたり、コメントが表示されなくなるなどの影響が広がったという事象がありました。本当にXSSの虚弱性があるのかを(悪意の無い)クラッカーによって実験された例として、ツイートにマウスカーソルを載せるとすぐにその内容がリツイートされ拡散される、という事象が発生しました。掲示板などの別のサイトやメール中に記載されているリンクをクリックした時に、この細工されたリンク中の悪意ある要求(リクエスト)が、クリックしたユーザの要求であるかのように偽って(フォージェリ)、ログイン中のウェブサイトで、ユーザの意思とは別の操作をさせる攻撃方法です。悪意あるリンクのクリックによって実施されてしまう状態です。「クロスサイトリクエストフォージェリ」の事例、件数の推移は?CSRFの事例として比較的有名なのが「はまちちゃん」大量発生事件です。ソーシャル・ネットワーキングサイトの「mixi」にログインした状態で、URLをクリックすると勝手に”ぼくはまちちゃん!”というタイトルで日記がアップされてしまうという現象が多発しました。はまちちゃん日記にはさらに悪意あるリンクが貼られており、このリンクをクリックすることで更に被害者が拡大したと言われています。IPA情報処理推進機構によると、CSRFによる脆弱性の届出件数は、ウェブサイトの届出全体に対して1%未満と多くはありません。CSRFについては、ソフトウェア製品の届出を含め、2006年頃から継続的に届出を受けています。見分けるにはどうしたら良いでしょう?まずは、ログイン情報の入力「前」か「後」かで区別しましょう。XSS:ログイン前に、入力したログイン情報が盗まれるCSRF:ログイン後に、別リンクをクリックすると、ログイン情報が盗まれるログイン「前」にログイン情報が盗まれるのがXSS。ログイン「後」にログイン情報が盗まれるのがCSRF。次に、利用者から見た対策方法で区別するのも良いですね。XSS:最初にブックマークしておき、2度目からはそこからアクセスするようにするCSRF:必要な時に都度ログインし、使用後は速やかにログアウトすることサイトの脆弱性を語るには、必ず付いて回るXSSとCSRF。これを機会に、しっかり覚えてくださいね。最後までお読みいただき、ありがとうございました。コメントをキャンセルメールアドレスが公開されることはありません。御パンダ御パンダです。気になるイベントやグルメ、心躍るスポーツやエンタメ、様々なお役に立ち情報を気ままに配信させてもらってます。暇つぶしに楽しんでくださいね。