平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14

✓ これが正解ウバインド機構を利用する。 ／ データベースのアカウントのもつデータベースアクセス権限を必要最小限にする。

解説

バインド機構と DB 権限の最小化の組合せが適切です。

SQL インジェクションは、入力値に SQL の一部を紛れ込ませ、Web アプリケーションが組み立てる SQL 文の意味を変えてデータベースを不正に操作する攻撃です。実装での根本的な対策は、バインド機構を使うことです。SQL 文の骨組みを先に固め、入力値は後から値としてだけ当てはめるので、入力が命令として解釈されなくなります。実装以外の対策としては、アプリケーションが使うデータベースのアカウントの権限を必要な範囲に絞っておくことが挙げられます。万一攻撃が通っても、できる操作が限られるので被害を小さくできます。どの組合せも左右の筋は通っているので、どの攻撃への対策かで仕分けるのが判断の軸です。

ほかの選択肢はなぜ違うのか

• アWeb アプリケーション中でシェルを起動…：シェルを起動しないことと chroot 環境で Web サーバを動かすことは、OS コマンドインジェクションへの対策の組合せです。データベースへの不正な命令を防ぐものではありません。
• イセッション ID を複雑なものにする。 …：セッション ID を複雑にすることと SSL で通信を秘匿することは、セッションハイジャックや盗聴への対策です。入力値によって SQL 文が書き換えられる問題には効きません。
• エパス名やファイル名をパラメタとして受け取…：パス名やファイル名を受け取らないことと重要なファイルを公開領域に置かないことは、ディレクトリトラバーサルへの対策です。データベースの操作とは関わりがありません。