【入門編】動的アプリケーションセキュリティテスト(DAST)によるインジェクション検知 – アプリケーションセキュリティ & 安全な開発防御ガイド

玄関の鍵、開けっ放しにしていませんか？DASTで「見えない泥棒」を追い出す方法

こんにちは！セキュリティの世界へようこそ。
システム開発の現場にいると、「コードを書くのに精一杯で、セキュリティまで手が回らないよ…」なんてこと、ありますよね。

今日は、そんな皆さんのアプリケーションを、「外から揺さぶって弱点を見つける」という、ちょっとスパルタだけど非常に頼もしい味方、DAST（動的アプリケーションセキュリティテスト）についてお話しします。

—

1. DASTって結局なに？：家で例えてみよう

皆さんの作ったWebアプリケーションを「一軒の家」だと想像してください。
開発中のコードチェック（SAST）が「設計図を眺めて『窓の鍵が甘くないか』を確認すること」だとしたら、DAST（ダスト）は「実際に家の前まで行って、ドアノブをガチャガチャ回し、窓を叩いてみるテスト」です。

泥棒は設計図なんて読みません。彼らは「とにかくどこか開いていないか」を全力で探しに来ますよね。DASTは、そんな泥棒の動きをシミュレーションして、「あ、ここ鍵が緩んでますよ！」と事前に教えてくれる防犯診断士なんです。

—

2. 「インジェクション攻撃」という名の泥棒

DASTが最も得意とする検知の一つが「インジェクション攻撃」です。

例えば、皆さんのサイトにある「お問い合わせフォーム」。名前を入力する欄に、もし泥棒が自分の名前の代わりに「データを全部消せ」という命令（コマンド）を入力したらどうなるでしょう？

もし対策が不十分だと、アプリケーションはそれを「名前」ではなく「命令」として受け取ってしまい、データベースを破壊したり、情報を盗み出したりします。これがインジェクション攻撃の恐ろしいところです。

泥棒のやり口（攻撃例）

悪意あるユーザーは、こんなコードをフォームに入力してきます。
' OR '1'='1

本来なら名前を入れる場所に、こんな「魔法の呪文」を忍び込ませて、データベースのチェックを無効化し、中身を丸裸にしようとするわけです。

—

3. DASTはどうやって検知するの？

DASTは、アプリケーションに対して、ありとあらゆる「おかしな文字列」を送信し続けます。

1. 攻撃パターンの送信: 「' OR 1=1--」のような、プログラムを混乱させる文字列をフォームに投げ込む。
2. レスポンスの観察: アプリから返ってくるエラーメッセージや、表示の変化をチェック。
3. 判定: 「お、このエラーメッセージ、データベースの中身を喋っちゃってるぞ！脆弱性あり！」と判断する。

注意：スキャンは「本番環境」でやっていいの？

ここが一番の注意点です。DASTは「実際に攻撃を試みる」ツールです。本番環境で何も考えずにスキャンすると、本当にデータベースを壊したり、メールを大量送信してしまったりする事故が起こります。

鉄則: 必ず「本番環境のコピー（ステージング環境）」で実行すること。
鉄則: テスト用のデータで実行すること。顧客データが消えたら、それはもう攻撃と同じですからね。

—

4. 今日からできる防御の第一歩：ヘッダーを設定しよう

DASTで脆弱性が見つかる前、あるいは見つかった後の対策として、まずは「ブラウザに守り方を教える」設定を入れましょう。これだけで、泥棒がブラウザを悪用するのを防ぐことができます。

Webサーバー（ApacheやNginx）のレスポンスヘッダーに、以下の設定を追加してみてください。

Nginxの設定例
ブラウザに「怪しいスクリプトは実行しないで！」と命令する（XSS対策）
add_header X-XSS-Protection “1; mode=block”;

ブラウザに「送られてきたデータを勝手に解釈しないで！」と命令する（MIMEタイプスニフィング対策）
add_header X-Content-Type-Options “nosniff”;

「このサイトの読み込みは安全な場所からだけにしてね！」と制限する（CSP）
add_header Content-Security-Policy “default-src ‘self’;”;

これらは、いわば「家の中に防犯カメラと警報装置を設置する」ようなもの。泥棒が侵入しようとしても、ブラウザ側で「それは危ないよ！」と弾いてくれるようになります。

—

まとめ：セキュリティは「一歩ずつ」でいい

「セキュリティ」と聞くと、完璧を目指して息苦しくなってしまうかもしれません。でも、まずは「自分のアプリケーションを外から眺めてみる（DAST）」という視点を持つだけで、皆さんの作るコードは格段に安全になります。

最初から完璧な鍵は作れません。でも、「鍵をかける習慣」と「どこが弱いかを知る努力」を続ければ、皆さんのシステムは必ず強固になります。

まずは、小さなフォームからテストしてみませんか？一歩ずつ、一緒に学んでいきましょう！