平成24年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問16

✓ これが正解ウ実装における対策：バインド機構を利用する。／実装以外の対策：データベースのアカウントのもつデータベースアクセス権限を必要最小限にする。

解説

バインド機構とデータベース権限の最小化の組が適切です。

SQL インジェクションは、入力値に SQL の一部を紛れ込ませ、アプリケーションが組み立てる SQL 文の意味を書き換えてデータベースを不正に操作する攻撃です。実装での根本的な対策は、バインド機構（プレースホルダ）を使うことです。SQL 文の形を先に確定させ、入力値は後から値としてだけ当てはめるので、入力が SQL 文の構造を変えることはありません。実装以外の対策としては、アプリケーションがデータベースに接続するアカウントの権限を必要最小限にしておきます。万一攻撃が成功しても、できる操作が限られるので被害を小さくできます。どの攻撃に対する対策の組かを見分けることが、この問の軸です。

ほかの選択肢はなぜ違うのか

• ア実装における対策：Web アプリケーショ…：アプリケーションからシェルを起動しないことと、chroot 環境で Web サーバを動かすことは、OS コマンドインジェクションへの対策の組です。SQL 文の組立てには関わりません。
• イ実装における対策：セッション ID を複…：セッション ID を推測しにくくすることと、SSL で通信を暗号化することは、セッションハイジャックや盗聴への対策の組です。データベースへの不正な命令は防げません。
• エ実装における対策：パス名やファイル名をパ…：パス名やファイル名をパラメタで受け取らないことと、重要なファイルを公開領域に置かないことは、ディレクトリトラバーサルへの対策の組です。SQL の悪用とは別の攻撃です。