データで見るSQLインジェクション渦
アナリストが見逃せなかった、攻撃の“ある傾向”
川口 洋
株式会社ラック
JSOCチーフエバンジェリスト兼セキュリティアナリスト
2008/7/24
攻撃手法の進化〜IDS／IPS回避行動の進行〜
攻撃件数の増加とともに攻撃手法も進化しています。連載の第2回でも説明したように3月の時点のSQLインジェクションもIDS／IPSに検知されないように難読化されていました。5月以降に行われたSQLインジェクションは攻撃者がIDS／IPSの存在をより意識して攻撃を行っています。攻撃者は、SQLインジェクションの攻撃リクエストの成功率を高められるように、IDS／IPSで発見されにくくなるような改造を行っています。
この攻撃が最初に現れた昨年末の時点では多くのIDS／IPSのベンダのシグネチャでは検知しませんでしたが、今年の5月あたりからは多くのベンダでもこのSQLインジェクションを検知するシグネチャをリリースしています。そのリリースに気付いたかのように攻撃手法が変化しています。これは攻撃者が広く利用されているIDS／IPS機器の情報を入手し、その検知機能を回避するべく改造を行っているものであると、私たちセキュリティアナリストは考えています。攻撃者側の手口（悪知恵）と防御側の手法（対策）のいたちごっこがしばらく続くことになるでしょう。
このような進化した攻撃の手法、手段は検知がしづらくなっているとはいえ、未知の脆弱性を狙っているわけではありません。被害を防ぐには、セキュリティの基礎を固め、引き続きセキュアなアプリケーションの開発を継続することが必要です。
知ることは“力”なり
まず「攻撃が来ていることを認識する」ことが対策の第一歩です。公開サーバを持つすべての管理者は自社のサーバに対して攻撃が行われていないかを確認してください。特にWebサーバのログを確認してください。その際にSecureSite Checker Freeのような無料のログ解析ツールを利用するのも1つの手です。
今回のSQLインジェクションの峠は越したように見えますが、大量の攻撃が発生した2008年5月ごろと比較すると攻撃件数全体が高いレベルで推移しています。またいつ攻撃が増加するか気を抜けない戦いはしばらく続きそうです。しかし、今夜だけは、SQLインジェクション事件で疲れた体を癒すべく、メンバーと飲みに行くのでした。
| 【関連記事】 川口洋のセキュリティ・プライベート・アイズ 連載インデックス http://www.atmarkit.co.jp/fsecurity/index/index_kawaguchi.html |
 |
3/3 |
| Index | |
| アナリストが見逃せなかった、攻撃の“ある傾向” | |
| Page1 2008年3月に注意喚起を行ったSQLインジェクションのいま 攻撃件数、攻撃元IPアドレス数、悪意のあるページが激増 |
|
| Page2 SQLインジェクションの目的も変化 無視できない広告サイトの改ざん |
|
 |
Page3 攻撃手法の進化〜IDS／IPS回避行動の進行〜 知ることは“力”なり |
| Profile |
| 川口 洋（かわぐち ひろし） 株式会社ラック JSOCチーフエバンジェリスト兼セキュリティアナリスト ラック入社後、IDSやファイアウォールなどの運用・管理業務を経て、セキュリティアナリストとして、JSOC監視サービスに従事し、日々セキュリティインシデントに対応。 アナリストリーダとして、セキュリティイベントの分析とともに、IDS／IPSに適用するJSOCオリジナルシグネチャ(JSIG)の作成、チューニングを実施し、監視サービスの技術面のコントロールを行う。 現在、JSOCチーフエバンジェリスト兼セキュリティアナリストとして、JSOC全体の技術面をコントロールし、監視報告会、セミナー講師など対外的な活動も行う。 |
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
