IT資格用語解説情報セキュリティマネジメント試験・インターネット（Web）
Web アプリケーションソフトウェア
更新日:
用語解説
Webアプリケーションソフトウェアは、利用者がWebブラウザから操作し、Webサーバ上で処理を行うソフトウェアです。ネットショップやインターネットバンキングなどがあります。
■ 試験で押さえるポイント
誰でもインターネットからアクセスできるため、入力を悪用した攻撃の対象になりやすい特徴があります。
対策の基本は、入力値の検証、出力時のエスケープ、プレースホルダの利用、セッション管理の適切な実装です。
WAFを導入すると、攻撃とみられる通信を遮断できますが、アプリケーション自体の脆弱性をなくすことが根本的な対策です。
攻撃 | 内容 | 主な対策 |
|---|---|---|
SQLインジェクション | 入力にSQL文の一部を混ぜ、DBを不正に操作する | プレースホルダ |
クロスサイトスクリプティング | 入力したスクリプトを他の利用者のブラウザで実行させる | 出力時のエスケープ |
CSRF | ログイン中の利用者に意図しない処理を実行させる | トークンの確認、再認証 |
ディレクトリトラバーサル | パス名を操作して公開範囲外のファイルを読む | ファイル名を直接受け取らない |
OSコマンドインジェクション | 入力にOSのコマンドを混ぜて実行させる | シェルを呼び出さない |
セッションハイジャック | セッションIDを盗んでなりすます | 推測困難なID、HTTPS、ログイン後の再発行 |
■ 過去問での着眼点
攻撃の名前と、その説明・対策の組合せが問われます。表で区別しておきましょう。