SQLインジェクションは、ハッカーの常套手段の中でも最も古いものの1つだが、今なお通用する。
わずかなキー入力だけで、攻撃者はデータベースに秘密を吐き出させることができます。ユーザー名やパスワードからクレジットカード情報まで、その範囲は多岐にわたります。企業にとって、この種の情報漏えいは金銭的損失や法的問題、そして深刻な評判の低下を意味します。
恐ろしいのは、SQLインジェクションは比較的簡単に防げるにもかかわらず、ずさんなコーディングや古いフレームワーク、不十分な入力検証が原因で、いまだに広く発生していることです。
今こそ対策しましょう。
クイックフィックス：SQLインジェクションを迅速に阻止する6つの方法：
- データベースに到達する前にすべての入力を検証する
- パラメーター化クエリまたはプリペアドステートメントを使う
- データベースアカウントに最小権限の原則を徹底する
- ソフトウェアスタックにパッチを適用し、最新の状態に保つ
- Webアプリケーションファイアウォール（WAF）を使う
- 機密データを暗号化し、情報漏えいの影響を抑える
1. データベースに到達する前にすべての入力を検証する
無害に見える場合でも、ユーザー入力を決して信用してはいけません。SQLインジェクションは不十分な入力検証につけ込みます。特に、データを型、形式、長さのチェックなしに受け入れている場合は危険です。
入力検証は、最初の防衛線です。ユーザー入力がクリーンで、想定どおりであり、厳密に管理されていることを確認してください。可能な限りホワイトリスト（許可する文字や値の範囲など）に照らして検証し、クエリに渡す前に予期しないものをすべて拒否します。
ヒント：最大限の保護を実現するには、入力検証とパラメーター化クエリを組み合わせましょう。検証によって不要なデータを取り除き、パラメーター化によって残った入力がSQLとして実行されないようにします。
2. パラメーター化クエリ（プリペアドステートメント）を使う
ユーザー入力をコピー＆ペーストするようにSQLクエリを組み立てるのはやめましょう。文字列を連結してクエリを作成すると、攻撃者はデータベースに悪意のあるコードを埋め込む。
パラメーター化クエリはユーザー入力とSQLロジックを分離し、注入された構文を無効化します。現代のプログラミング言語やフレームワークのほぼすべてが、この機能に対応しています。
Pythonでの例
cursor.execute(“SELECT * FROM users WHERE email=?”, (email,))
この単純な変更が大きな違いを生みます。アプリがセキュリティ上の悪い教訓にならずに済む理由になるかもしれません。
3. 最小権限の原則を適用する
データベースユーザーに王国の鍵まで渡してはいけません。アプリにデータの読み取りだけが必要なら、書き込み、更新、削除の権限を与えないでください。レコードの更新が必要な場合でも、テーブルを削除できるようにしてはいけません。
アクセスを制限すれば、誰かが侵入方法を見つけた場合の被害を最小限に抑えられます。また、アプリケーションの特定部分にある欠陥を隔離するのにも役立ちます。
ベストプラクティス：アプリの異なる部分ごとに個別のDBユーザーを作成し、それぞれに必要な権限だけを付与しましょう。
4. スタックを最新の状態に保つ
攻撃者は古いソフトウェアを好みます。データベースサーバー、Webフレームワーク、CMSが最近更新されていないなら、重要なセキュリティパッチが適用されていない可能性があります。
次のようなツールを使えば、TenableやSophosは、パッチ未適用の脆弱性や古い依存関係がないか、インフラを継続的にスキャンできます。
ヒント：既知のSQLインジェクション脆弱性を狙うエクスプロイトキットに先手を打てるよう、自動アラートを設定するか、パッチ適用サイクルをスケジュールしましょう。
5. Webアプリケーションファイアウォール（WAF）を導入する
アプリのセキュリティ用WAFとして考えてみましょう。WAFは受信トラフィックを分析し、SQLインジェクションのペイロードを含む悪意のあるリクエストをコードに到達する前にブロックします。単純な入力フィルターの回避を目的とした、断片化されたSQLインジェクションや難読化されたSQLインジェクションなど、より高度な手法にも対応します。
一般消費者向けのセキュリティプラットフォームの中には、NortonやAvastなど、小規模事業者のサイトやWordPressインストール向けに、WAFと同様に機能するWeb保護レイヤーを提供するものもあります。
覚えておきたい点：高度なサイトでは、特に顧客の機密データや大量のトラフィックを扱う場合、エンタープライズグレードのWAFを検討すべきです。
6. 機密データを暗号化する
暗号化でSQLインジェクションを阻止することはできませんが、被害を抑えることはできます。攻撃者にデータベースの内容を抜き取られたとしても、そのデータを役に立たないものにしておきたいはずです。
パスワードは、bcryptやArgon2などの強力な一方向アルゴリズムでハッシュ化して安全に保存しましょう。また、財務データやPIIなどの機密レコードには、共通鍵暗号または公開鍵暗号を使用します。
次のようなツールを使えば、NordLockerやKeeper、特にリモート環境や分散環境で、ファイルや認証情報を簡単に暗号化できます。
これらのツールでSQLインジェクションを未然に防ぐ
コードは最初の防衛線ですが、それだけではありません。これらのツールは、脆弱性の検出や機密データの保護、開発ワークフローの安全確保に役立ちます。
暗号化・認証情報管理
- NordLocker：機密ファイル向けのエンドツーエンド暗号化
- Keeper：漏えい監視機能を備えたパスワードマネージャー
- LogMeOnce：MFAを組み込んだID・アクセス管理
- LastPass：チーム向け共有機能を備えた認証情報ボルト
脅威・脆弱性の検出
- Tenable：脆弱性管理と脅威エクスポージャー分析
- Sophos：AIを活用したエンドポイント保護とリアルタイムスキャン
- Trend Micro：Cloud、エンドポイント、ワークロードのセキュリティ
- Malwarebytes：強力なマルウェア対策とエクスプロイト保護
安全な開発のためのVPN
- NordVPN：開発者やリモートワーカーに最適な高速・安全なVPN
- Surfshark：無制限のデバイスを接続し、トラッカーをブロック
- TunnelBear：無料プランもある使いやすいVPN
- Private Internet Access：開発者向けの高度な設定オプション
- PrivateVPN：強力な暗号化を備えたシンプルで手頃なVPN
最後に
SQLインジェクションがなくなることはありません。しかし、パラメーター化クエリや最小権限アクセスをはじめとする、いくつかの賢い対策を講じるだけで、攻撃がデータに到達する前に阻止できます。
今日から行動しましょう。コードベースを監査し、脆弱性をスキャンし、重要なデータをすべて暗号化してください。
セキュリティは1つの大きな対策で解決するものではありません。習慣にするものです。