「鍵をかけたはずなのに…」を防ぐ！インジェクション攻撃から身を守るための「自動見張り番」の育て方
こんにちは。日々、コードの裏側に潜む「穴」を探し続けているセキュリティエンジニアです。
皆さんは、自分の書いたコードが「泥棒に開けられやすい家」になっていないか、不安に思ったことはありませんか？今日は、開発現場で最も恐れられ、かつ最も防ぎやすい「インジェクション攻撃」について、専門用語を抜きにして、皆さんと一緒に紐解いていきたいと思います。
—
1. インジェクション攻撃って、結局なに？
インジェクション（Injection）とは、直訳すると「注入」です。これを「家」に例えてみましょう。
あなたが玄関先で、「お名前をどうぞ」と訪問者に問いかけたとします。普通なら「山田です」と答えてもらいたいところですが、もし泥棒が「山田です。あ、ちなみに合鍵を持っているので、勝手に開けて入りますね」という「悪意ある指示」を付け加えて言ったらどうなるでしょう？
もしあなたがその言葉を鵜呑みにして鍵を開けてしまったら……これがインジェクション攻撃の正体です。
- SQLインジェクション： データベースという「金庫」に対して、泥棒が「全財産を出せ」という命令を注入する。
- OSコマンドインジェクション： システムという「家の管理者」に対して、「家のすべてのドアを解錠せよ」という命令を注入する。
本来、開発者が想定していない「余計な命令」をシステムに実行させてしまうことが、すべての被害の始まりなんです。
—
2. なぜ「静的解析(SAST)」が最強の用心棒なのか？
「じゃあ、僕らが一つ一つコードを見直せばいいの？」と思うかもしれません。でも、人間には限界があります。数万行あるコードを毎日チェックするのは、針の穴を通すような作業ですよね。
そこで登場するのが静的解析ツール（SAST：Static Application Security Testing）です。
SASTは、「コードを書いている最中に、背後で目を光らせてくれる用心棒」のような存在です。プログラムを実行する前に、「おい、その書き方だと泥棒にドアを開けさせる隙があるぞ！」と教えてくれます。
CI/CDパイプラインへの組み込み
今どきの開発現場では、コードを保存（プッシュ）した瞬間に、この用心棒が自動でパトロールを開始するように設定します。これが「CI/CDパイプラインへの組み込み」です。
—
3. 実践！SASTで脆弱性をあぶり出す
例えば、皆さんがよく書くかもしれない「データベースからユーザーを探すコード」を見てみましょう。
危険な書き方の例（脆弱性あり）
// ユーザーからの入力をそのままSQL文に混ぜてしまう
const query = “SELECT FROM users WHERE name = ‘” + userInput + “‘;”;
// これだと、userInputに「’ OR ‘1’=’1」と入れるだけで、
// 全ユーザーの情報が盗み出されてしまいます！
SASTツールを導入していると、このコードを保存した瞬間に、ツールが以下のように警告を出してくれます。
- 警告メッセージ例:
[CRITICAL] SQL Injection detected: User input directly concatenated into SQL query.
安全な書き方の例
// プレースホルダー（バケツのようなもの）を使うのが正解！
const query = “SELECT FROM users WHERE name = ?;”;
db.execute(query, [userInput]);
// これなら、userInputにどんな悪意ある文字列が入っていても、
// データベースは「ただの文字」として扱うため、命令として実行されません。
—
4. 今日から始める「守りの第一歩」
「ツールを入れるのは難しそう…」と感じる必要はありません。まずは、無料でも使える優秀なツールを導入することから始めてみませんか？
1. OSSツールの選定： SonarQube（コミュニティ版）や Semgrep は、個人開発や小規模チームでも導入しやすく、設定も非常にシンプルです。
2. ルールの絞り込み： 最初から全てを完璧に防ごうとすると、警告が多すぎてやる気を失います。「まずはインジェクション系だけ見つける」という設定からスタートしましょう。
3. CIへの統合： GitHub Actionsなどを使っているなら、設定ファイルに数行書き加えるだけで、プッシュするたびに自動チェックが走るようになります。
.github/workflows/security.yml のイメージ
jobs:
sast:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v2
- name: Run Semgrep
run: semgrep –config=auto # これだけで自動的に脆弱性を探してくれます！
—
最後に：完璧を目指さなくていい
セキュリティは「終わりのない旅」です。今日、たった一つの警告を修正するだけで、あなたのシステムは昨日より確実に強くなっています。
「面倒だな」と思ったら、こう考えてみてください。あなたが書いたそのコードは、世界中の誰かが使うかもしれない「大切な家」であること。 その家を守るための用心棒（SAST）を雇うことは、開発者としての立派なプロ意識の表れです。
一歩ずつ、焦らず、一緒に学んでいきましょう！何か疑問があれば、いつでも質問してくださいね。皆さんのコードが、泥棒を寄せ付けない堅牢なものになることを応援しています。
コメント