はじめに
背景
インターネットを使ったサービスは日々増え、私たちの生活やビジネスに深く関わっています。WebサイトやWebアプリが攻撃を受けると、個人情報の流出やサービス停止など大きな被害につながります。本資料は、そのようなリスクを減らすための「Webセキュリティテスト」について分かりやすくまとめたものです。
本資料の目的
この報告書は、Webセキュリティテストの基礎から具体的な診断手法、よくある脆弱性、診断対象の範囲、代表的なツールまでを網羅的に紹介します。技術担当者だけでなく、運用や企画の方にも役立つ内容を目指しています。
想定読者
- Webサービスを運用・開発するエンジニア
- セキュリティ対策の導入を検討する管理者
- 外部委託先に依頼する際の基礎知識を必要とする担当者
読み方のポイント
具体例を交えて手法や特徴を説明します。たとえばログイン画面や問い合わせフォームなど、身近な箇所を例に挙げて理解を深めてください。各章で実務に活かせるポイントを示します。
Webセキュリティテストの定義と重要性
定義
Webセキュリティテストは、Webアプリケーションやホームページに潜む弱点（脆弱性）を見つけ出す診断作業です。実際の利用を想定して攻撃に近い手順で調べ、問題点を明らかにします。
目的
目的はリスクの発見と低減です。例えば、ログインフォームの不正利用や入力欄からの情報漏えい、ファイルアップロードの不正処理など、具体例を挙げて検査します。見つかった問題は優先度を付けて改善します。
重要性
サイバー攻撃は増え、被害は業務停止や顧客情報流出など大きな損失につながります。したがって、企業は事前に脆弱性を把握し対策を取る必要があります。テストは事故を未然に防ぎ、信頼を守る手段です。
実施タイミング
- 開発中とリリース前
- 定期的な診断（例：年1回以上）
- 大きな機能追加や環境変更後
- インシデント発生後の再検査
成果と活用
診断結果は脆弱性一覧、影響度、修正優先順位として報告します。修正後に再検査を行い、問題が解決したことを確認します。これにより安全性を継続的に高められます。
診断手法の種類
概要
Webセキュリティテストの診断手法は主に「自動診断（ツール診断）」と「手動診断」に分かれます。ここでは両者の特徴と、それらを組み合わせた運用方法をわかりやすく説明します。
自動診断（ツール診断）
専用のスキャナーやツールを使って脆弱性を自動検出します。速度が速く、広範囲を短時間で調べられます。例としてはSQLインジェクションやクロスサイトスクリプティングの検出があります。誤検知（偽陽性）が出ることがあり、人の目での確認が必要です。
手動診断
専門家が実際に操作しながら脆弱性を探します。ビジネス論理の欠陥や複数の弱点を組み合わせた攻撃など、自動ツールでは検出しにくい問題を見つけます。時間と経験が必要ですが、精度は高いです。
ペネトレーションテスト
手動診断の一種で、攻撃者の視点で実際に侵入を試みます。権限取得やデータ流出の有無を実証的に確認し、詳細な報告書と改善策を提供します。ルールや範囲を事前に定めて行います。
ハイブリッド運用
まず自動診断で広くスキャンし、検出結果を手動で精査して深掘りします。効率と精度のバランスが取れ、運用にも適しています。
選び方のポイント
対象の重要度、予算、頻度で選びます。日常的なチェックは自動診断で行い、重要な公開サービスや法規制の対象は定期的に手動診断やペネトレーションテストを実施するのがおすすめです。
検査対象となる主要な脆弱性
はじめに
Webアプリ診断で重点的に検査する7つの脆弱性を分かりやすく説明します。各項目で簡単な例、発生するときの影響、基本的な対策を示します。
SQLインジェクション
説明: 入力値がそのままSQL文に組み込まれ、攻撃者が任意のデータを読み書きできる脆弱性です。
例: ログイン欄に「’ OR ‘1’=’1」を入れると認証を回避する場合があります。
影響: 機密情報の漏洩やデータ改ざんを引き起こします。
対策: プレースホルダを使ったパラメータ化クエリや入力検証を実施します。
OSコマンドインジェクション
説明: ユーザー入力がOSコマンドに渡され、任意コマンドが実行される脆弱性です。
例: ファイル名入力に「; ls -la」のような文字列が含まれると、不要なコマンドが実行される可能性があります。
影響: サーバの制御奪取や情報漏洩につながります。
対策: 外部コマンド呼び出しを避ける、必要ならホワイトリストで検証します。
クロスサイトスクリプティング（XSS）
説明: 悪意あるスクリプトがページに挿入され、閲覧者のブラウザで実行される脆弱性です。
例: ユーザー投稿欄に「alert(1)」が表示される場合です。
影響: セッション乗っ取りやフィッシングに利用されます。
対策: 出力時にHTMLエスケープやコンテンツセキュリティポリシーを適用します。
クロスサイトリクエストフォージェリ（CSRF）
説明: 利用者の認証情報を悪用して、本人の意思に反する操作を行わせる攻撃です。
例: ログイン中の利用者が外部ページを開いたことで、意図しない送金が発生することがあります。
影響: 不正な操作や設定変更が行われます。
対策: ワンタイムトークン（CSRFトークン）やReferer検証で防ぎます。
ディレクトリトラバーサル
説明: ファイル参照に不適切な入力があると、想定外のファイルへアクセスできる脆弱性です。
例: 「../../../../etc/passwd」などでサーバ上の機密ファイルを参照される場合があります。
影響: 機密ファイルの露出や情報漏洩を招きます。
対策: 入力の正規化とルートディレクトリ制限（パスの正当化）を行います。
強制ブラウジング（ファイル・ディレクトリの強制アクセス）
説明: 認可チェックのないURLに直接アクセスして、管理機能などを使えてしまう問題です。
例: /adminやバックアップファイルへ直接アクセスして権限外の操作を行うケースがあります。
影響: 管理画面の不正利用や情報漏洩が発生します。
対策: URL単位での認可チェックと不要ファイルの削除を徹底します。
パラメータ操作（改ざん）
説明: クライアント側のパラメータを改ざんして不正に機能を利用する攻撃です。
例: 購入リクエストの金額パラメータを書き換えて安く購入するなどがあります。
影響: 財務被害やデータ不整合を引き起こします。
対策: サーバ側での入力検証、重要値は改ざんできない方式で管理します。
補足
これらの脆弱性は組み合わせて悪用されることがあります。診断では各項目を個別に検査し、発見時は速やかに対策を講じることが重要です。
診断対象領域
Webセキュリティ診断では、サーバ設定、アプリケーション、通信、クライアント側スクリプトの4つの領域を中心に検査します。各領域で設定や実装の不備を見つけ出し、リスクを評価します。
サーバ設定
- OSやミドルウェアの脆弱性や未適用のパッチを確認します。
- 不要なサービスや開放ポート、弱いファイル権限をチェックします。
- TLS設定や証明書の整合性、ログ設定も重要です。
- 例: デフォルト管理者アカウントやディレクトリ一覧が有効だと侵入されやすくなります。
アプリケーション
- 入力値検証、認証・認可、セッション管理を検査します。
- エラーメッセージで内部情報を出していないか確認します。
- 例: フォームの入力を適切に検証しないとSQLインジェクションや認可バイパスが起きます。
通信
- HTTPSの適用状況、暗号スイート、証明書の有効性をチェックします。
- 中間者攻撃を防ぐための設定（HSTSなど）を確認します。
- 例: 一部ページだけHTTPで通信していると情報が漏れる危険があります。
クライアント側スクリプト
- JavaScriptによるDOM操作や外部スクリプト読み込みの安全性を検査します。
- XSS対策とCookie属性（HttpOnly、Secure）の確認をします。
- 例: ユーザー入力をそのままHTMLに埋め込むとXSS被害が発生します。
診断では、影響度と修正容易性を基に優先順位を付け、段階的に対処します。
主要な診断ツール
VADDY
Seleniumを使いブラウザ操作を自動化して、SQLインジェクションやXSSなどを試します。フォームに自動で値を入れたり、複数ページを巡回したりして再現性のある検査を行えます。導入が簡単で、Web操作を前提にしたテストに向きます。
Burp Suite
プロキシとしてブラウザとサーバ間の通信を傍受し、リクエストを書き換えて挙動を確かめます。手動で詳細に調べる際に強力です。例：フォーム送信後のパラメータを変更して脆弱性を探します。
Wireshark
ネットワーク上のパケットを解析します。通信の内容やプロトコルの問題を可視化でき、暗号化されていない通信の検出に有効です。
OWASP ZAP
オープンソースの脆弱性スキャナです。自動スキャンで一般的な脆弱性を洗い出せます。初心者にも扱いやすい点が特徴です。
Firefoxアドオン
ブラウザ上で手軽に使えるツール群です。レスポンス確認や簡単なペイロード挿入など、軽い診断や確認作業に便利です。
nogotofail
通信セキュリティの挙動を検査するツールです。中間者攻撃など通信経路の問題を検出する際に役立ちます。
注意：いずれのツールも対象に対する適切な許可が必要です。不正利用は法律に抵触します。
