はじめに
本資料の目的
本資料はWebアプリケーションセキュリティ診断について、基礎から実践まで分かりやすく説明します。脆弱性を発見してリスクを評価し、適切な対策を行うための考え方と手順を示します。例えば、ログインフォームの入力値で起きる問題や、コメント欄に悪意のあるスクリプトが入るケースなどを想定しています。
対象読者
- 開発者やテスター
- セキュリティ担当者や運用担当者
- 経営層やプロジェクトマネージャー（概要把握を目的とする方）
技術的な内容も含みますが、専門用語は最小限にし、具体例で補います。
本資料の構成
- 第2章：Webアプリケーション診断とは（定義と目的）
- 第3章：主な診断項目（具体的な脆弱性例）
- 第4章：診断方法（手動とツールの使い方）
読み方の注意
診断には実際のシステムに負荷を与える場合があります。必ず事前に関係者の同意を取り、影響範囲を確認してください。テスト前にバックアップやステージング環境の利用を推奨します。
Webアプリケーション診断とは
概要
Webアプリケーション診断は、WebサイトやWebアプリに潜む安全上の弱点（脆弱性）を見つけ、攻撃を受けたときの影響を確かめる作業です。プログラムや設定を点検したり、実際に疑似攻撃を試して挙動を確認したりします。
診断の目的
主な目的は次の通りです。
– 不正アクセスや情報漏えいを未然に防ぐこと。
– 実際に攻撃された際の被害を小さくすること。
– 優先的に直す箇所を明らかにすること。
例えば、ログイン画面で弱い認証があると不正ログインにつながります。診断でそれを見つけて改善します。
主な診断手法（わかりやすい例付き）
- 静的解析：ソースコードを読み、不自然な処理や設定ミスを探します。たとえば、パスワードを平文で保存していないか確認します。
- 動的解析：実際に動く画面に対して入力や操作を行い挙動を確認します。検索欄に特殊な文字を入れて表示が崩れるかで問題を見つけます。
- ペネトレーションテスト：実際の攻撃を想定して深く試します。例として、ファイルアップロード機能に悪意あるファイルを試す場合があります。
- 設定診断・依存関係チェック：サーバ設定や使用ライブラリの古さを点検します。古い部品は攻撃に使われやすいです。
診断で期待できる成果
診断を行うと、問題点の一覧、再現手順、修正の優先度や対応案が手に入ります。これにより、効率よく安全性を高められます。
主な診断項目
SQLインジェクション
攻撃者が入力欄に特別な文字列を入れて、意図しないSQLが実行される脆弱性です。例えば検索欄に「’ OR ‘1’=’1」と入れると全件が返る場合があります。対策はパラメータ化されたクエリや入力検証です。
クロスサイトスクリプティング（XSS）
掲示板やコメント欄に悪意あるスクリプトが埋め込まれ、他の利用者のブラウザで実行されます。例としてでクッキーを盗む攻撃があります。出力時の適切なエスケープで防げます。
OSコマンドインジェクション
ファイル名やパラメータに細工してサーバー上でコマンドを実行される危険です。例えばアップロード名に「; rm -rf /」のような入力が使われる恐れがあります。外部コマンド呼び出しを避け、入力を厳しく検証します。
認証機能・アクセス制御
ログイン機能や権限チェックに不備があると、認証後のページや管理機能へ不正にアクセスされます。パスワード試行制限やロールごとのアクセス制御を確認します。
認証情報の扱い
パスワードの平文保存や設定ファイルの誤公開は大きなリスクです。パスワードはハッシュ化して保存し、鍵や秘密情報は環境変数やシークレット管理を使います。
診断方法
Webアプリケーション診断は大きく「手動診断」と「ツール診断」に分かれます。ここでは双方の特徴と具体的な進め方、外部に依頼する際の注意点をわかりやすく解説します。
手動診断
専門家が実際に操作して脆弱性を探します。ログイン処理や業務ロジックの不具合といった自動ツールでは見落としやすい問題を発見できます。具体的には情報収集→脆弱性の確認（再現手順作成）→影響範囲の特定→報告という流れで進めます。時間とコストはかかりますが、信頼性が高い方法です。
ツール診断
専用の自動ツールを使い、多くのエンドポイントを短時間で検査します。例として入力検証の甘さによるSQLインジェクションやXSSの検出があります。設定や検出結果の見直しが必要で、誤検知（false positive）も出ます。一般的な流れは設定→スキャン実行→結果の精査→再スキャンです。
両者の組み合わせと外部委託のポイント
定期的な自動スキャンを日常的に回し、設計変更や重要リリース後に手動診断を行う運用が現実的です。外部に依頼する場合は診断範囲やテストアカウント、報告フォーマット、脆弱性の優先度付け（緊急度）を明確に伝えてください。また、結果の修正状況を追跡する体制を整えることが重要です。
