従来のネットワークセキュリティ機器がWebアプリケーション攻撃を防げない理由とは？主要な攻撃手法を徹底解説

従来のネットワークセキュリティ機器ではWebアプリケーション攻撃を防げない理由

従来のファイアウォールなどのネットワークセキュリティ機器は、主にポート番号やIPアドレスといったネットワーク層の情報をもとに通信を監視・制御する仕組みです。しかし、Webアプリケーションへの攻撃は、その多くがHTTP（HTTPS）トラフィックに乗せて実行されます。従来型の機器はHTTPトラフィックの中身を検査しないため、攻撃コードを含む通信を見過ごしてしまうのです。

つまり、正しい説明は「Webアプリケーション攻撃は通常HTTPトラフィックを通じて行われるため、従来のネットワークセキュリティ機器には検知されず、ブロックできない」ということになります。これに対処するには、WAF（Web Application Firewall）のようにアプリケーション層の通信内容を精査できる専用の防御策が必要です。

セッショントークンとは何か

セッショントークンとは、ユーザーがWebアプリケーションへアクセスする際に使用される認証情報のことです。Webサーバーはランダムな文字列を生成し、これをセッションIDとしてユーザーに発行します。以降の通信では、このトークンによって「誰がアクセスしているのか」を識別します。

セッショントークンの送信方法としては、主に次の2つが挙げられます。

• URLに含める方式
• パケットヘッダー（Cookieなど）に含める方式

主要なWebアプリケーション攻撃の種類

CSRF（クロスサイトリクエストフォージェリ）

CSRFは、被害者のWebブラウザの設定や状態を利用して、そのユーザーになりすまし不正なリクエストを送信させる攻撃です。ユーザーが意図しない操作（送金や設定変更など）を、あたかも本人が行ったように見せかけることができます。

中間者攻撃（Man-in-the-Middle攻撃）

中間者攻撃（MitM攻撃）とは、攻撃者が二者間の正当な通信に割り込み、盗聴したり改ざんしたりする攻撃です。攻撃者は送信者に対して偽の応答を返し、本来の通信を妨害することもあります。

MitM攻撃によって、次のような被害が発生する可能性があります。

• ログイン認証情報（ID・パスワード）の窃取
• 通信内容の盗み見（盗聴）
• データの改ざんによる通信の破壊

理論的には、受信者の情報を傍受して攻撃者へ転送する受動的な攻撃もあれば、送信者へ偽の応答を返して正当な通信を遮断する能動的な攻撃もあります。

SQLインジェクション

SQLインジェクション攻撃が成功すると、攻撃者は次のような操作を行えるようになります。

• データベースからの機密データの取得
• データの改ざん（INSERT／UPDATE／DELETE）
• シャットダウンなどのデータベース管理操作の実行
• DBMSファイルシステム内に保存されたファイルの復元・閲覧
• オペレーティングシステムへのコマンド発行

このように、SQLインジェクションは情報漏えいにとどまらず、システム全体を乗っ取られる危険性もある深刻な脅威です。

XSS（クロスサイトスクリプティング）

XSS攻撃は、「ユーザーの入力値を検証せずにそのまま応答に利用する」Webアプリケーションの弱点を突く攻撃です。信頼できないソース（多くの場合はWebリクエスト）から入力されたデータが、安全性の検証なしに動的コンテンツへ組み込まれ、ユーザーのブラウザ上で悪意あるスクリプトとして実行されてしまいます。

セッションフィクセーション

セッションフィクセーション攻撃において、攻撃者がターゲットのWebサーバーとの接続を確立し、正規のセッションIDを入手するのは「初期セッション確立（Initial session setup）」フェーズです。なお、アイドル状態のセッションタイムアウト機能をサポートしているWebサーバーは限られています。

拡張機能・プラグイン・アドオンがセキュリティリスクになる理由

ブラウザの拡張機能、プラグイン、アドオンがセキュリティリスクとみなされる理由はいくつかあります。最大の要因は、これらのソフトウェア自体に脆弱性が存在し、それがブラウザ経由で攻撃対象となり得る点です。攻撃者はソフトウェアの脆弱性を組織的に悪用することで、本来ユーザーがアクセスできないはずのリソースへ到達しようとします。

まとめ

Webアプリケーション攻撃はHTTPトラフィックを通じて行われるため、従来型のネットワークセキュリティ機器だけでは防ぎきれません。CSRF、中間者攻撃、SQLインジェクション、XSS、セッションフィクセーションなど、各攻撃の仕組みを理解したうえで、WAFの導入、入力値検証の徹底、セッション管理の強化といった多層的な対策を講じることが重要です。