文献

J-GLOBAL ID：201902218898083361   整理番号：19A0415834

Webアプリケーションテストを用いたSQLクエリのホワイトリスト自動作成手法

Automatic Whitelist Generation for SQL Queries Using Web Application Test

著者 (4件)： 野村孔命 (GMOペパボ ペパボ研) ,  力武健次 (GMOペパボ ペパボ研) ,  力武健次 (力武健次技術士事務所) ,  松本亮介 (GMOペパボ ペパボ研)
資料名： 情報処理学会研究報告(Web)  (IPSJ Technical Report (Web))
巻： 2018  号： IOT-41  ページ： Vol.2018-IOT-41,No.24,1-6(WEB ONLY)  発行年： 2018年05月10日 
JST資料番号： U0451A  資料種別： 会議録 (C)
記事区分： 原著論文  発行国： 日本 (JPN)  言語： 日本語 (JA)

抄録/ポイント： データベースの情報を利用して動作するWebアプリケーションでは,入力検証やクエリ発行処理の脆弱性により,開発者の想定していない不正クエリがデータベースに発行され機密情報を窃取される攻撃が発生する。このような攻撃に対して,Webアプリケーションがデータベースに発行するクエリのホワイトリストを作成し不正クエリの検知を行う方法がとられてきたが,Webアプリケーションの大規模化や実装言語の多様化に伴いホワイトリストの作成が難しくなっている。そのため,Webアプリケーション解析や運用時のクエリを用いた学習により生成を用いてホワイトリスト作り,検知する手法が提案されている。しかし,手法が実装言語依存の問題やWebアプリケーションの仕様変更の頻度が高いことによるホワイトリストの管理が難しい問題がある。本稿では,Webアプリケーションの動作を保証するためのテストがあり,Webアプリケーションの更新に追従してテストの更新が行われる開発プロセスが採用されていることを前提とし,テスト時に発行されるクエリからホワイトリストを自動作成する手法を提案する。Webアプリケーションの運用時には作成されたホワイトリストを用いて不正クエリを検知する。提案手法は,Webアプリケーションの複雑性や実装言語に依存せずにクエリのホワイトリストを自動作成することができ,新クエリが実装された場合もテストの更新に伴いホワイトリストが更新される。また,検知されたクエリはテストされていないクエリもしくは不正クエリであり,これらを早期に発見することで原因となるWebアプリケーションの脆弱性が長期化することを防ぐことができる。(著者抄録)

シソーラス用語： 一覧表 ,  応用プログラム ,  Web【情報システム】 ,  *プログラム検査 ,  *SQL【ソフトウェア】 ,  *コンピュータセキュリティ ,  犯罪 ,  質問 ,  データベース管理システム ,  データベース ,  データ更新 ,  自動試験 ,  プライバシー ,  サイバー攻撃
準シソーラス用語： ホワイトリスト ,  *Webアプリケーションテスト ,  *不正クエリ検知 ,  個人情報 ,  脆弱性攻撃

分類 (1件)： データ保護  (JD01020V)

引用文献 (11件)：

• D Kar, S Panigrahi, Prevention of SQL Injection attack using query transformation and hashing, Advance Computing Conference (IACC), 2013.
• F. Valeur, D. Mutz and G. Vigna, A Learning-Based Approach to the Detection of SQL Attacks In Proceedings of the Conference on Detection of Intrusions and Malware Vulnerability Assessment (DIMVA), July 2005.
• Martin Fowler, David Rice, Matthew Foemmel, Edward Hieatt, Robert Mee, Randy Stafford, Patterns of Enterprise Application Architecture, Addison-Wesley, 2002.
• M Bachle, P Kirchberg, Ruby on rails, 2007.
• OWASP ModSecurity Core Rule Set (CRS), https://modsecurity.org/crs/.

タイトルに関連する用語 (6件)： Webアプリケーション ,  テスト ,  SQL ,  クエリ ,  ホワイトリスト ,  手法