あなたのWebサイトが「合鍵」を作られる前に。ログ分析でインジェクション攻撃を暴く方法
こんにちは。セキュリティの世界で「防衛の最前線」を歩んできた人間として、今日はお話ししたいことがあります。
Webサイトやアプリを開発しているとき、「どうせ誰も見ないだろう」とログを放置していませんか？ 実は、攻撃者はあなたのサイトの「玄関」を叩きながら、中へ入るための「合鍵」をコツコツと作っているかもしれません。
今回は、エンジニアの皆さんが今日からできる「インジェクション攻撃の痕跡を見つけるためのログ分析術」を、泥棒の侵入方法に例えて、優しく解説していきます。
—
1. インジェクション攻撃って、結局なに？
インジェクション（Injection）とは、直訳すると「注入」です。これを泥棒に例えてみましょう。
あなたのWebサイトにある入力フォームは、「家の玄関」です。本来、ここには「名前」や「メールアドレス」といった、決まった形のデータしか入ってきません。しかし、攻撃者はここに「開けゴマ！」という魔法の呪文（SQLコマンドなど）を混ぜ込んで入力します。
すると、本来なら「お客様の名前を記録する」はずのプログラムが、その呪文を「あ、これ命令文なんだ！」と勘違いして実行してしまう。これがインジェクション攻撃の正体です。
—
2. 泥棒の「足跡」を見つける：ログ分析の極意
攻撃者は、いきなりドアを蹴破ることは稀です。まずは、「このドアはどの鍵なら開くかな？」と、メタ文字（' や --、; など）を少しずつ送り込んで、システムの反応を伺います。
この「反応を探る動き」こそが、ログに残る貴重なサインです。
ログで見るべき「怪しいサイン」
アクセスログ（ApacheやNginxのログ）を確認するとき、以下のような文字が頻発していないかチェックしてください。
' OR '1'='1：「全部のデータを見せて！」という定番の呪文です。--：SQL文のコメントアウト。後ろの命令を無効化する時に使われます。UNION SELECT：本来のデータに別のデータをくっつけて盗み出す手口です。../：OSコマンドインジェクションを狙う際のディレクトリトラバーサル（階層を遡る動き）。
ログを効率的に抽出するコマンド
Linux環境であれば、grepコマンドを使って、怪しい記号が含まれる行を抜き出すことができます。
access.logの中から、シングルクォーテーションやセミコロンが含まれる怪しい行を抽出
grep -E “[‘;]|–|UNION|SELECT” /var/log/nginx/access.log
もしこれが大量に出てくるなら、すでに攻撃者はあなたのサイトを「お、ここは脆そうだぞ」とマークしている可能性が高いです。
—
3. 防御の基本：玄関の鍵を二重にする
ログで攻撃を見つけるのは重要ですが、そもそも「合鍵を作らせない」のが最も大切です。
プリペアドステートメント（静的プレースホルダ）の利用
一番の対策は、入力された文字を「命令」としてではなく、ただの「ただの文字列」として扱うこと。これをプログラミングの世界ではプリペアドステートメントと呼びます。
ダメな例（泥棒に鍵を渡している状態）:
// ユーザーの入力をそのまま命令文に混ぜている（危険！）
$sql = “SELECT FROM users WHERE id = ‘” . $_POST[‘id’] . “‘”;
良い例（鍵を自分しか持てないようにする）:
// 命令文の形を先に固定する（プレースホルダ）
$stmt = $pdo->prepare(‘SELECT FROM users WHERE id = :id’);
// 後から値を安全な「ただの文字」として流し込む
$stmt->execute([‘id’ => $_POST[‘id’]]);
これだけで、たとえ攻撃者が「開けゴマ！」と入力しても、システムはそれを「ただの文字列」として無視してくれるようになります。
—
4. 最後に：セキュリティは「継続」がすべて
新人の皆さん、最初から完璧な防御ができる人はいません。
「ログを毎日眺めること」、そして「怪しい動きがあればすぐにチームに共有すること」。この泥臭い習慣こそが、世界最高峰のセキュリティ企業でも行われている、最も強力な防衛策なのです。
今日から、サーバーのログを少しだけ覗いてみませんか？
もし、見慣れない記号の羅列を見つけたら、それはあなたのサイトを守るための「最初の一歩」です。
困ったときは、いつでもまたここへ戻ってきてください。一歩ずつ、一緒に強くなっていきましょう！
コメント