情報セキュリティマネジメント試験 科目A テクノロジ 練習問題 第10問: Web アプリケーションがデータベースに接続するときのアカウントに、データベースの管理者の権限が与えられていた。SQL インジェクション攻撃を受けた場合の被害を

正解: 1. 管理者の権限をやめ、アプリが使う命令文の実行に必要な最小限の権限だけを与える。

「管理者の権限をやめ、アプリが使う命令文の実行に必要な最小限の権限だけを与える」が適切です。IPA「安全なウェブサイトの作り方 改訂第7版」は、SQL インジェクションへの保険的対策として、データベースに接続するアカウントの権限が必要以上に高いと被害が深刻化するおそれがあるとし、アプリから渡す命令文を洗い出して、その実行に必要な最小限の権限を与えるよう求めています。アカウントを機能ごとに分けても、どれも管理者の権限なら実行できる命令の範囲は狭まりません。パスワードの強化も同じです。エラーメッセージを表示しないのは同じ資料の別の保険的対策で、攻撃の手がかりを減らすものです。被害の大きさは接続用のアカウントの権限で決まることを押さえましょう。

関連キーワード: SQL インジェクション・データベースアクセス制御・最小権限・保険的対策