Security＆Trust トレンド解説

Webアプリケーションのセキュリティを
後回しにするな

岡田大助
2005/8/19

---

Webアプリケーションの脆弱性対策機能をパッケージに

　SecureBlockerは、クロスサイトスクリプティング、SQLインジェクション、OSコマンドインジェクション、ディレクトリトラバーサルへの対策を行うJavaクラスライブラリだ。

　「ライブラリとしてユーザー入力値のチェック機能を組み込めます。開発者向けツールとして提供されるので、Webアプリケーションのセキュリティに関する深い知識を持たない開発者でも、セキュアなアプリケーションを開発することが可能になります」と武井氏は語る。

SecureBlockerの実装方法（ピンク色の部分が追加部分）

　NTTデータでは、ユーザー入力値のチェック機能のチューニングに相当時間をかけたという。その背景には、多くのセキュリティのプロフェッショナルを抱えるセキュリティサービスユニットの強みがあり、Webアプリケーション診断サービスで培われたノウハウがつぎ込まれている。

　SecureBlockerがもたらすメリットとしては、RFPのあやふやさを明確にできるという点が評価できるだろう。また、一定のレベルのセキュリティ品質を確保するための工数が削減できるだけでなく、運用中に脆弱性が発見されたWebアプリケーションについてもシステムのほかの部分への影響を最低限に抑えながら修正が可能だ。

　入力チェック機能については、設定ファイルによりWebアプリケーションのパラメータごとにチェックをするかどうかをコントロールできる。すべてのパラメータを一律でチェックすることも可能だ。設定ファイルはイメージ的にアクセスコントロールリスト（ACL）に近い。

　チェックした入力値は、文字列に問題があるかどうかを判定し、問題があればエラーを返す「エラー版メソッド」と、問題がある文字列がサニタイジング可能であればサニタイズ処理をした文字列を返す「サニタイズ版メソッド」の2つの処理が施される。

　SecureBlockerは、6月29日から7月1日まで開催されていた「第2回情報セキュリティEXPO」に初めて出展された（いまだにプレスリリースもない……）。セキュリティサービスユニットセキュリティビジネス担当課長の平昌展氏によれば、多くの引き合いが来ているという。その中には、PHPなどのスクリプト言語をはじめとする他言語版の要望も多い。

　平氏は「アルゴリズムに関しては同じものが利用できるのでほかの言語にも対応可能ですが、PHPやPerlのようなスクリプト言語に対してはどのように商品化したらいいか悩みどころです。.NET版ならあり得るかもしれません」と将来を語る。また、セッションハイジャックについては未対応となっているのも残念な点な1つだ。こちらについても「やりようはある」（平氏）とのことだが……。

　ちなみにSecureBlockerのライセンス料金は、1ドメインにつき初年度300万円、次年度以降60万円となっている。同一ドメイン上で複数のWebアプリケーションを動かしているところも多いだろうから、この金額が高いと見るか、お手ごろと見るかはユーザー次第だ。

　最後に、NTTデータの両氏も言及していたが、WAFがダメ、もしくは従来のセキュアプログラミングがダメということではない。Webアプリケーションの脆弱性に対して、ハードウェア側、ソフトウェア側双方で協調して対策を実施することで、よりセキュアなWebサイトが構築され、ユーザーの安全を守ることが理想だろう。

2/2

Index
脅威に対して自動的に防衛するネットワーク
	Page1 数字のうえでは5件に1件は外部犯による情報漏えい セキュアプログラミングは本当に限界なのか
	Page2 Webアプリケーションの脆弱性対策機能をパッケージに

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）