安全なWebサイト作り方.pdfVIP

安全な ウ ェ ブ サ イ ト の 作り方 改訂第 4 版 ウェブアプリケーションのセキュリティ実装と ウェブサイトの安全性向上のための取り組み 2010 年 1 月 本書は、以下の URL からダウンロードできます。 「安全なウェブサイトの作り方」 http://www.ipa.go.jp/security/vuln/websecurity.html 目次 目次 2 はじめに 2 本書の内容および位置付け 3 対象読者 3 第 4 版の主な改訂内容 3 脆弱性対策について －根本的解決と保険的対策－ 4 1. ウェブアプリケーションのセキュリティ実装 5 1.1 SQLインジェクション 5 1.2 OSコマンド・インジェクション 9 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル 12 1.4 セッション管理の不備 15 1.5 クロスサイト・スクリプティング 21 1.6 CSRF(クロスサイト・リクエスト・フォージェリ) 28 1.7 HTTP ヘッダ・インジェクション 32 1.8 メールの第三者中継 36 1.9 アクセス制御や認可制御の欠落 39 2. ウェブサイトの安全性向上のための取り組み 41 2.1 ウェブサーバのセキュリティ対策 41 2.2 DNS 情報の設定不備 42 2.3 ネットワーク盗聴への対策 43 2.4 パスワードの不備 45 2.5 フィッシング詐欺を助長しないための対策 46 2.6 WAFによるウェブアプリケーションの保護 49 3. 失敗例 55 3.1 SQLインジェクションの例 55 3.2 OSコマンド・インジェクションの例 61 3.3 パス名パラメータの未チェックの例 63 3.4 クロスサイト・スクリプティングの例 65 3.5 CSRF(クロスサイト・リクエスト・フォージェリ)の例 76 3.6 HTTPヘッダ・インジェクションの例 80 おわりに 82 参考資料 83 用語集 85 チェックリスト 86 はじめに はじめに 1 インターネットでは、多くのウェブサイトがそれぞれサービスを提供しています。通信利用動向調査 に よると、2009 年現在、日本におけるインターネットの利用者数は 9,000 万人を超えると推定され、ウェブを 通じた情報のやり取りは今後も増え続けることが予想されます。 一方、ウェブサイトの「安全上の欠陥」（脆弱性）が狙われる事件も後を絶ちま