情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第6問: Web アプリケーションのディレクトリ・トラバーサルの脆弱性について、IPA「安全なウェブサイトの作り方」改訂第7版が根本的解決として挙げているものはどれか。

正解: 1. 外部から渡されるパラメータで、サーバ内のファイル名を直接指定する実装を避ける。

「外部から渡されるパラメータで、サーバ内のファイル名を直接指定する実装を避ける」が適切です。IPA「安全なウェブサイトの作り方」改訂第7版は、ディレクトリ・トラバーサルの根本的解決として、外部からのパラメータでウェブサーバ内のファイル名を直接指定する実装を避けること（3-(i)-a）と、固定のディレクトリを指定し、かつファイル名にディレクトリ名が含まれないようにすること（3-(i)-b）を挙げています。固定のディレクトリの後ろにファイル名をつなげるだけでは「../」等を使った攻撃を回避できないと同書は説明しています。「../」などを検出して処理を中止するファイル名のチェックと、アクセス権限の管理は、同書では保険的対策です。原因を無くす根本的解決と、被害を減らす保険的対策を区別しましょう。

関連キーワード: ディレクトリ・トラバーサル・根本的解決・保険的対策