データで見るSQLインジェクション渦

アナリストが見逃せなかった、攻撃の“ある傾向”


川口 洋
株式会社ラック
JSOCチーフエバンジェリスト兼セキュリティアナリスト
2008/7/24



 攻撃手法の進化〜IDS/IPS回避行動の進行〜

 攻撃件数の増加とともに攻撃手法も進化しています。連載の第2回でも説明したように3月の時点のSQLインジェクションもIDS/IPSに検知されないように難読化されていました。5月以降に行われたSQLインジェクションは攻撃者がIDS/IPSの存在をより意識して攻撃を行っています。攻撃者は、SQLインジェクションの攻撃リクエストの成功率を高められるように、IDS/IPSで発見されにくくなるような改造を行っています。

 この攻撃が最初に現れた昨年末の時点では多くのIDS/IPSのベンダのシグネチャでは検知しませんでしたが、今年の5月あたりからは多くのベンダでもこのSQLインジェクションを検知するシグネチャをリリースしています。そのリリースに気付いたかのように攻撃手法が変化しています。これは攻撃者が広く利用されているIDS/IPS機器の情報を入手し、その検知機能を回避するべく改造を行っているものであると、私たちセキュリティアナリストは考えています。攻撃者側の手口(悪知恵)と防御側の手法(対策)のいたちごっこがしばらく続くことになるでしょう。

 このような進化した攻撃の手法、手段は検知がしづらくなっているとはいえ、未知の脆弱性を狙っているわけではありません。被害を防ぐには、セキュリティの基礎を固め、引き続きセキュアなアプリケーションの開発を継続することが必要です。

 知ることは“力”なり

 まず「攻撃が来ていることを認識する」ことが対策の第一歩です。公開サーバを持つすべての管理者は自社のサーバに対して攻撃が行われていないかを確認してください。特にWebサーバのログを確認してください。その際にSecureSite Checker Freeのような無料のログ解析ツールを利用するのも1つの手です。

 今回のSQLインジェクションの峠は越したように見えますが、大量の攻撃が発生した2008年5月ごろと比較すると攻撃件数全体が高いレベルで推移しています。またいつ攻撃が増加するか気を抜けない戦いはしばらく続きそうです。しかし、今夜だけは、SQLインジェクション事件で疲れた体を癒すべく、メンバーと飲みに行くのでした。

【関連記事】
川口洋のセキュリティ・プライベート・アイズ 連載インデックス
http://www.atmarkit.co.jp/fsecurity/index/index_kawaguchi.html


 

3/3

Index
アナリストが見逃せなかった、攻撃の“ある傾向”
  Page1
2008年3月に注意喚起を行ったSQLインジェクションのいま
攻撃件数、攻撃元IPアドレス数、悪意のあるページが激増
  Page2
SQLインジェクションの目的も変化
無視できない広告サイトの改ざん
Page3
攻撃手法の進化〜IDS/IPS回避行動の進行〜
知ることは“力”なり

Profile
川口 洋(かわぐち ひろし)
株式会社ラック
JSOCチーフエバンジェリスト兼セキュリティアナリスト

ラック入社後、IDSやファイアウォールなどの運用・管理業務を経て、セキュリティアナリストとして、JSOC監視サービスに従事し、日々セキュリティインシデントに対応。

アナリストリーダとして、セキュリティイベントの分析とともに、IDS/IPSに適用するJSOCオリジナルシグネチャ(JSIG)の作成、チューニングを実施し、監視サービスの技術面のコントロールを行う。

現在、JSOCチーフエバンジェリスト兼セキュリティアナリストとして、JSOC全体の技術面をコントロールし、監視報告会、セミナー講師など対外的な活動も行う。

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

注目のテーマ

Security & Trust 記事ランキング

本日 月間
ソリューションFLASH