Web アプリのセキュリティの主な脆弱性とその軽減方法

問題： インジェクション攻撃は、Web アプリケーションの脆弱性の中で最も一般的で、最も深刻なものの 1 つです。この問題は、攻撃者が慎重に作成したデータを使用してアプリケーションを騙し、意図しないコマンドを実行したり、不正なデータにアクセスしたりするときに発生します。

インジェクション攻撃の種類には、SQL インジェクション (SQLi)、OS インジェクション、電子メール インジェクション、LDAP インジェクション、プロンプト インジェクション、クロスサイト スクリプティング (XSS）。

解決： 脆弱性およびペネトテスト、脆弱性スキャナーおよびソース コード アナライザーを使用して、インジェクション脆弱性を検出します。

射出欠陥を防ぐには、次の手順を実行します。

• ユーザー入力を検証します。 ユーザーがフォーム、URL、Cookie、またはアプリケーションのデータベースを介して送信したデータはすべて信頼できないと想定します。厳密な検証関数を使用して、データが予想される形式と一致していることを確認します。
• HTML が必要な場合は、ユーザー入力をサニタイズします。 HTML サニタイザーを使用して、ブラウザーでレンダリングする前に、ユーザーが送信したデータから潜在的に悪意のあるコードをクリーンアップおよび解析します。
• ユーザー入力をエスケープします。 、”、& などの特定の文字を、コンテキスト認識エンコーディングを使用した安全なテキスト表現に置き換えて、コードとして解釈されたり実行されたりしないようにします。
• コンテンツセキュリティポリシーを実装します。 Web サイトへのロードを許可するスクリプトやスタイルなどの特定のリソース、およびそのソースと場所を定義します。

例: SQLi

SQLi 攻撃では、悪意のある攻撃者は、ユーザーが指定したデータが有効であるかどうかを最初にチェックせずに、それを使用して SQL クエリを利用します。したがって、攻撃者は悪意のある SQL クエリを送信し、コマンドを SQL データベースに直接渡すことができます。

上記の防止に関するアドバイスに加えて、ストアド プロシージャをトランザクションの実行に絶対に必要なものだけに制限してください。また、Cookie には HTTPOnly フラグを使用します。これにより、クライアント側のスクリプトが Cookie にアクセスできなくなり、XSS 攻撃の影響が軽減されます。

例: XSS

XSS 攻撃は 40 年近く前から存在しています。この攻撃では、悪意のある攻撃者がコード (通常は JavaScript などのクライアント側スクリプト) を Web アプリケーションの出力に挿入することにより、アプリケーションのユーザーをターゲットにします。ユーザーが侵害された出力または Web ページを表示すると、ブラウザが実行され、攻撃者がユーザー セッションをハイジャックできるようになります。ユーザーを悪意のあるサイトにリダイレクトします。ウェブサイトを改ざんする。ユーザーの Cookie、閲覧履歴、その他の機密データを盗みます。

XSS 攻撃は、同一生成元ポリシー (ある Web サイトで生成されたスクリプトが別のサイトのスクリプトと対話することを防ぐセキュリティ メカニズム) を回避します。

例: 即時注入

攻撃者が使用する プロンプトインジェクション攻撃 これには、直接プロンプト インジェクション、間接プロンプト インジェクション、ストアド プロンプト インジェクション、およびプロンプト リークが含まれます。AI ツールをだまして、通常は共有しない情報を開示させます。たとえば、攻撃者はダイレクト プロンプト インジェクション攻撃を使用して大規模な言語モデルをだます可能性があります (LLM) システムの API キーまたはシークレットを共有します。

プロンプト挿入の欠陥を防ぐには、プロンプトが AI および LLM の保護手段をバイパスまたはオーバーライドできないようにし、AI ツールと LLM に許可されるユーザー プロンプトの長さを制限します。