泥棒が「合鍵」を作る前に食い止めろ！DASTで見つけるインジェクションの盲点
こんにちは。セキュリティの世界へようこそ。
いきなりですが、皆さんの家の玄関を想像してみてください。頑丈な鍵をかけていても、もし「郵便受けから手を突っ込んで内側のサムターン（つまみ）を回せてしまう」としたらどうでしょう？ どんなに高価なドアでも意味がありませんよね。
アプリケーションにおける「インジェクション攻撃」とは、まさにこの「郵便受けから手を突っ込む」ような行為です。今日は、この泥棒の手口を未然に見つけ出し、家の守りを固めるためのDAST（動的解析ツール）について、専門用語を抜きにして解説していきます。
—
1. 「インジェクション」って結局、何が怖いの？
まずは仕組みを噛み砕きましょう。
皆さんが作ったWebサイトの入力フォームは、「お客様からの注文を受ける窓口」です。例えば、名前を入力する欄に「山田太郎」と入れるはずが、悪意ある人がここに「自分だけの特別な命令」を紛れ込ませるのがインジェクション攻撃です。
- 正常な注文: 「山田太郎」という名前をデータに保存してね。
- インジェクション: 「山田太郎」と入力した後に、こっそり「ついでに全顧客データを僕にメールして！」という命令を付け足す。
プログラムがこの「付け足された命令」をそのまま実行してしまうと、大変なことになりますよね。これがSQLインジェクションやOSコマンドインジェクションの正体です。
—
2. DASTは「抜き打ち検査」のプロ
さて、ここで登場するのがDAST（Dynamic Application Security Testing）です。
DASTは、稼働中のアプリに対して「実際に攻撃者になりきって、いろんな窓口を揺さぶってみる」ツールです。よく混同される「ペネトレーションテスト」との違いは、「自動化された日常的な健康診断」か「プロによる徹底的な人間ドック」かという点です。
- DAST: ツールが自動で毎日、あるいはリリース前に「ここは大丈夫？」「あそこは開いてない？」と数千通りの攻撃パターンを試してくれます。
- ペネトレーションテスト: 人間のプロが、ツールの目では見抜けない「論理的な抜け道（業務フローの矛盾など）」を執念深く探すものです。
DASTは、まずは「誰でも思いつくような泥棒の手口」を徹底的に防ぐための、最強の盾になります。
—
3. 実践！DASTでチェックすべきポイント
DASTツール（OWASP ZAPやBurp Suiteなど）を導入したら、まずは以下の設定を意識してみてください。これらは、泥棒が侵入を試みる「窓」の強度を測るための大切な指標です。
守りのためのHTTPヘッダー設定（例）
DASTの結果で「脆弱性がある」と指摘されやすいのは、ブラウザに対して「変な命令を受け取ったら無視してね」と伝えるセキュリティヘッダーの設定漏れです。
Nginxの設定例です。Webサーバーにこんな設定を追加します
「ブラウザよ、怪しいスクリプトが動こうとしたら即座にブロックしてくれ！」
add_header X-Content-Type-Options nosniff;
「このサイトで動かしていいスクリプトは、自分で許可したものだけだよ！」
add_header Content-Security-Policy “default-src ‘self’;”;
「クリックジャッキング（透明なボタンで操作させる詐欺）を防いでね」
add_header X-Frame-Options SAMEORIGIN;
—
4. 開発者が今日からできる「泥棒を入れない」工夫
DASTで脆弱性が見つかったら、慌てずに対策しましょう。基本は「入力値を信じないこと」です。
NGな書き方（命令とデータが混ざってしまう）
— 文字列をそのまま結合すると、’ OR ‘1’=’1 と入れられるだけで全件表示されてしまいます
query = “SELECT FROM users WHERE name = ‘” + input_name + “‘;”;
OKな書き方（「バインド変数」でデータと命令を分ける）
— データを「命令の一部」としてではなく「単なる文字の塊」として扱わせます
— これなら、どんなに怪しい呪文を入力されても、ただの文字列として処理されるだけです
query = “SELECT FROM users WHERE name = ?;”;
db.execute(query, input_name);
—
最後に：完璧を目指すより、まずは「隙」をなくそう
セキュリティに終わりはありません。DASTを使って診断し、脆弱性が見つかったら「ダメだ」と落ち込むのではなく、「泥棒が入る前に窓の鍵が見つかってラッキー！」と考えてください。
まずは、自分のアプリケーションに「変な命令を投げたらどうなるか？」をDASTで確認することから始めてみましょう。一歩ずつ、着実に。そうすれば、あなたの作るアプリは世界で一番信頼される「鉄壁の城」になりますよ。
何か分からないことがあれば、いつでも相談してくださいね。一緒に守りを固めていきましょう！
コメント