HOME情報セキュリティ情報セキュリティ対策脆弱性対策ウェブサイトの脆弱性の検出ツールウェブサイトの脆弱性の検出ツール※本資料は新バージョンを公開しております。こちらからご参照ください。浩司)は、ウェブサイトの脆弱性対策を促進するため、ウェブサーバのアクセスログの中からウェブサイトへの攻撃を解析し、ウェブサイトのSQLインジェクションの脆弱性を検出するツールを2008年4月18日(金)より公開しました。近年、ウェブサイトを狙ったSQLインジェクション攻撃(*1)が急増しており、ウェブサイトの情報の改ざんや、非公開情報が公開されるなど深刻な被害が発生しています。このため、ウェブサイト運営者は、自組織が管理しているウェブサイトがどれほどの攻撃を受けているのか、またウェブサイトが受けた攻撃によって被害が発生していないか、常に状況を把握し対策を講ずることが必要です。ウェブサイトを狙った攻撃を把握するには、専門的なスキルが必要であるため、自組織内で専門のセキュリティ技術者を育成するか、有償のセキュリティ監視サービスを受ける必要があるなど、一般のウェブサイト運営者にとって容易ではありません。そこで、IPAでは、ウェブサーバのアクセスログの中から、ウェブサイトの攻撃によく用いられる文字列を検出し、ウェブサイトが日頃どれだけの攻撃を受けているか、また、ウェブサイトの脆弱性により攻撃が成功した可能性があるかを検出する簡易ツール「iLogScanner」を開発しました。現在、検出できるものはSQLインジェクションのみですが、今後、クロスサイト・スクリプティングやOSコマンド・インジェクションなど、順次拡大していく予定です。iLogScannerでSQLインジェクション攻撃が検出された場合や、特に攻撃が成功した可能性が検出された場合は、ウェブサイトの開発者やセキュリティベンダーに相談されることを推奨します。iLogScannerは簡易ツールであり、ウェブサイトに脆弱性があってもSQLインジェクション攻撃のアクセスログが無ければ脆弱性を検出しません。実際の攻撃による脆弱性検査は行っていません。攻撃が検出されない場合でも安心せずに、ウェブサイトの脆弱性検査を行うことを推奨します。■脆弱性検出ツールiLogScannerの概要iLogScannerは、ツール利用者がウェブブラウザを利用してIPAのウェブサイト(iLogScanner提供サイト)からダウンロードし、利用者のウェブブラウザ上で実行するJavaアプレット形式のプログラムです(図1)。利用者が用意したウェブサーバのアクセスログファイルの中から、SQLインジェクション攻撃によく用いられる文字列を検出し(図2)、ウェブサイトへ攻撃のあったと思われる痕跡や、攻撃が成功した可能性のある痕跡の有無を解析結果レポートとして出力します(図3)。活用するために、検出状況を収集するなどの機能拡張を予定しています。図3.脆弱性検出ツールの解析結果の例IPAとしては、ウェブサイト運営者が、この脆弱性検出ツールを利用することにより、自組織のウェブサイトに潜む脆弱性を確認するとともに、ウェブサイト管理者や経営者に対して警告を発し、セキュリティ監査サービスを受けるなど、脆弱性対策を講じるきっかけとなることを期待しています。ウェブサイトの開発者やセキュリティベンダーが、本ツールを取引先等に紹介され、それぞれの顧客システムのセキュリティ向上の契機となることを期待します。Language)文を組立てています。ここで、SQL文の組立て方法に問題(脆弱性)がある場合、攻撃によってデータベースの不正利用をまねく可能性があります。この脆弱性を悪用した攻撃をSQLインジェクション攻撃と呼んでいます。改訂第3版」P.5の1.1を参照。次のURLからご使用下さい。注意事項として「ウェブサイトに脆弱性があってもSQLインジェクション攻撃のアクセスログが無ければ脆弱性を検出しない。5010005007126)。