【入門編】 WebサーバーアクセスログにおけるSQLi・XSSのパターンマッチング – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！日々の開発やインフラの管理、本当にお疲れ様です。

Webアプリケーションを作ったり運用したりしていると、ふと「今、変なアクセスが来ていないかな？」と不安になること、ありませんか？ニュースでは毎日サイバー攻撃の話題が流れてきますし、自分のサイトが狙われていたらどうしようと冷や汗をかくこともありますよね。

今回は、そんなセキュリティの現場で私たちが日々行っている「Webサーバーのアクセスログ分析」について、一緒に優しく紐解いていきたいと思います。

難しそうな用語が出てきても大丈夫です。身近な「防犯」の仕組みに例えながら、一歩ずつ対策を学んでいきましょう！

—

1. 玄関の鍵とWebアプリのセキュリティ

まずは、Webサイトの仕組みを「あなたの家」に例えて考えてみましょう。

  • Webアプリケーション: あなたの家そのもの（リビングやキッチン）
  • HTTPリクエスト（アクセス）: インターネットという道路から、あなたの家にやってくる「訪問者」
  • Webサーバーのアクセスログ: 玄関のインターフォンの履歴や、誰が訪ねてきてどんな言動をしたかを記録する「防犯カメラの映像とメモ」

家を建てるとき、頑丈な玄関ドアや鍵をつけますよね。Webアプリでも同じで、入力欄には「おかしな文字が入ってこないようにチェックする」という鍵（バリデーション）をかけます。

でも、泥棒はあらゆる手口を使って鍵をこじ開けようとします。「うちの鍵は完璧だから大丈夫！」と思っていても、いつのまにか窓の隙間から侵入を試みているかもしれません。だからこそ、「防犯カメラのログ（アクセスログ）」を定期的に確認し、怪しい動きがなかったかをチェックすることが、私たちSOC（セキュリティオペレーションセンター）アナリストの腕の見せ所なのです。

—

2. 泥棒の定番手口：SQLインジェクションとXSS

アクセスログを覗き見する前に、攻撃者がよく使う代表的な2つの手口を簡単に知っておきましょう。これも身近な例えで説明しますね。

① SQLインジェクション（SQLi）：合言葉の乗っ取り

家に入るためのインターフォン（ログイン画面など）で、普通は「山田太郎」と名前を言うところを、特殊な呪文のような言葉（データベースを操作する言葉）を混ぜ込んで、「私は管理人だから家に入れろ！」とシステムを勘違いさせる攻撃です。

これが成功してしまうと、データベースの奥深くにある他のユーザーのパスワードや個人情報がすべて盗まれてしまいます。

② クロスサイト・スクリプティング（XSS）：仕込まれた悪意の罠

掲示板やお問い合わせフォームのメッセージ欄に、ただの文章ではなく、ブラウザを騙して悪い動きをさせるプログラム（ <script> タグなど）をこっそり書き込む攻撃です。

これを防犯の例えにするなら、郵便受けに「この紙に触ると、あなたの財布の中身が勝手に引き出される魔法のインク」が塗られたチラシを入れておくようなものです。他の人がそのページを見たときに、その場で悪意あるプログラムが実行されてしまいます。

—

3. アクセスログから「怪しい影」を見つけるパターンマッチング

さて、ここからが本題です。Webサーバー（NginxやApacheなど）には、サイトにやってきた人たちの足跡がずらーっと記録されます。

192.168.1.50 - - [10/May/2024:12:00:00 +0900] "GET /search.php?q=apple HTTP/1.1" 200 1024

こんなログが1日に何万行、何百万行と流れてきます。これを人間の目で1行ずつチェックするのは不可能ですよね。そこで登場するのが、「正規表現」を使ったパターンマッチングです。

正規表現とは、言葉の「ルール」を記号で表したもので、例えば「q= のあとに、なんだか怪しい記号やSQLのコマンドが続いていたら教えてね」とコンピュータにお願いするための仕組みです。

実際にログからSQLiの兆候を見つける正規表現の例

例えば、SQLインジェクションを狙うアクセスには、よく UNION や SELECT、あるいはシングルクォーテーション (') が含まれます。これを検知するためのシグネチャ（パターン）のイメージは以下のようになります。

# SQLインジェクションの兆候（シングルクォーテーションやSQLのキーワード）を検知する正規表現の例
.*(\%27|\'|--|union.*select).*

アクセスログの中にこのパターンに合致するものが見つかった場合、「おや、このアクセスは怪しいぞ」とフラグを立てることができます。

—

4. WAFログとアクセスログを突き合わせて「攻撃の成功」を判定する

ここで重要なポイントがあります。それは、「怪しいアクセスが来た ＝ 攻撃が成功した」とは限らないということです。

ここがフォレンジック（調査）の面白いところであり、一番慎重になるべき部分です。

  • WAF（Webアプリケーションファイアウォール）のログ: 玄関の防犯センサーが「不審者が怪しい動きをしたので警報を鳴らしました！」と記録したログ。
  • アクセスログ（Webサーバー）: 家の中までその人がどう侵入し、最終的にどうなったか（HTTPステータスコードなど）を記録したログ。

この2つを「突き合わせる（突合する）」ことで、本当に家の中に侵入されて被害が出たのかを正確に判定できます。

判定のロジック（現場の視点）

現場では、以下のようなステップで攻撃が成功したかどうかを判定します。

1. WAFログの確認: 「あ、さっき誰かが <script>alert(1)</script> という文字を送信しようとしたな（WAFがブロックしていれば、ここで防げているのでセーフです）。
2. アクセスログとの突合: もしWAFをすり抜けてしまっていた場合、Webサーバーのアクセスログの「ステータスコード（結果）」を確認します。

  • ステータスコード 200（OK）や 302（リダイレクト）: アプリケーションがその怪しい入力をそのまま受け入れて処理してしまった可能性が高く、攻撃成功（インシデント発生）の危険性大です。
  • ステータスコード 400（Bad Request）や 403（Forbidden）、500（Internal Server Error）: アプリケーション側でエラーとして弾いたか、途中でクラッシュした状態であり、多くの場合は攻撃は防がれています（ただし、エラーメッセージに機密情報が出ていないかの確認は必要です）。

—

5. 実務で使える！PHPでの簡易チェックとログ記録のサンプル

もしあなたが今、小さなWebアプリケーションを開発していて、「最低限の入り口のチェックだけでも実装してみたい！」と思ったら、以下のようなシンプルなコードを参考にしてみてください。

<?php
/**
 * 簡易的な入力値の安全チェックとログ記録のサンプル
 * 初めてセキュリティを意識する開発者向けに、わかりやすくコメントを記載しています。
 */

// ユーザーから送信された検索キーワードを受け取る（例: ?q=apple）
$search_query = isset($_GET['q']) ? $_GET['q'] : '';

// 【超重要】怪しい文字（SQLiやXSSの断片）が含まれていないか正規表現でチェックする
// 今回は単純化のため、シングルクォーテーションやHTMLタグの始まりを検知します
$suspicious_pattern = '/(\'|<script>|javascript:)/i';

if (preg_match($suspicious_pattern, $search_query)) {
    // 怪しいアクセスを発見した場合の処理
    
    // 1. 攻撃の痕跡をセキュリティ用のログファイルに記録する
    $log_message = sprintf(
        "[%s] 警告: 不正なアクセスの可能性を検知 IP: %s, 入力値: %s\n",
        date('Y-m-d H:i:s'),
        $_SERVER['REMOTE_ADDR'],
        $search_query
    );
    error_log($log_message, 3, '/var/log/app_security.log');

    // 2. 処理を中断して、ユーザーには優しくエラーを伝える（またはトップページに返す）
    header("HTTP/1.1 400 Bad Request");
    echo "申し訳ありません。不正な文字が検出されたため、処理を中断しました。";
    exit;
}

// 安全と判断された場合の通常の処理
echo "検索結果を表示します: " . htmlspecialchars($search_query, ENT_QUOTES, 'UTF-8');
?>

このコードでは、怪しい文字を見つけた瞬間に処理を止め、専用のログファイルに「誰が・何を送り込もうとしたか」を書き留めています。これが、私たちインシデントレスポンス担当者が調査のときに見る「貴重な手がかり」そのものになります。

—

まとめ：日々のログ確認が最強の防犯になる

いかがでしたでしょうか？
アクセスログの分析や正規表現というと、難解な暗号のように見えて身構えてしまいますよね。でも、本質は「自分の家（Webサイト）に誰がどんな手口で近づいてきたかを知るための、大切な防犯カメラの記録」を見ることです。

最初は完璧に理解できなくても全く問題ありません。まずは「時々ログを眺めてみる」「変なエラーや怪しい文字列がないか気にかけてみる」という小さな一歩から、セキュリティの目を養っていきましょう。

あなたの手掛けるWebサービスが、安全で快適な場所であることを心から応援しています！

スポンサーリンク

コメント

タイトルとURLをコピーしました