サイバー攻撃の脅威は今なお増し続けており、具体的な対応策の実施が企業においては急務です。
本記事では、入力データの「 サニタイジング」が必要な理由や具体的な方法について解説しています。行わない場合のリスクについても取り上げているので、ぜひ参考にしてください。
Cloud Mail SECURITYSUITEのサービス資料を受け取る
サニタイジング（無害化）とは
サニタイジング（無害化）とは、SNSやフォームなどに入力されるデータから、悪意あるコードや有害な文字を取り除き、無害な状態に変換する処理のことです。サニタイジングを行うことで、入力値がXSSやSQLインジェクションといったセキュリティ上の脅威によって不正な値になっても、システムを安全に扱えるようになり、ユーザやシステムを守ります。
例としては、ユーザがフォームに入力した文字列から不正なHTMLタグを削除する処理などが挙げられます。
エスケープ処理との違い
「エスケープ処理」は、入力データをそのまま受け入れつつ、不正な入力値を安全な形式に変換する手法です。例えば、HTML内で「<」や「>」をそのまま出力するとタグとして認識されてしまうため、「<」に置き換えます。
一方、サニタイジングは危険な要素そのものを無害化する点が大きな違いです。サニタイジングの要素として、エスケープ処理があります。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードサニタイジングの歴史
サニタイジングという考え方は、インターネットの初期からあり、普及とともに必要性が増してきました。
初めの頃はユーザの入力をそのまま処理することが多く、セキュリティへの意識も低かったため、攻撃を受けるリスクが高くなっていました。攻撃による被害増加を受けて、徐々にサニタイジングの考え方が重要視されるようになってきたのです。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードサニタイジングが必要な理由
サニタイジングが必要な理由は、入力値に潜むセキュリティリスクを軽減するためです。悪意あるユーザが入力欄に不正なスクリプトを仕込むと、システムがそれを正しく処理できず、情報漏洩やシステムの損傷といった深刻な被害を招く可能性があります。
また、サニタイジングを徹底することで、コンプライアンスを順守していることの証明にもなります。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロード情報セキュリティの柱とは
サニタイジングの重要性を理解する上では、情報セキュリティの要素についても把握しておく必要があります。ここでは、情報セキュリティに関する3つの柱について解説します。
完全性
完全性とは、情報が改ざんされず正確で一貫している状態です。
もし第三者によってデータが書き換えられたり、内容が壊れたりすれば、効果的に活用できなくなります。そのため、アクセス権限設定やバックアップの活用などによって完全性を担保しなければなりません。
機密性
機密性とは、情報にアクセスできる人を制限し、不正利用や漏洩を防ぐことです。
個人情報など機密性の高い情報が無関係な人に知られてしまえば、信用の低下に直結します。そのため、暗号化やID・パスワードによる管理、セキュリティポリシーの作成などの対策が求められます。
可用性
可用性とは、必要なときに情報やシステムを利用できる状態を維持することです。完全性や機密性が守られていても、システムが頻繁にダウンして利用できなければ意味がありません。
可用性を担保するためには、システム機器の冗長化やクラウドシステムの導入などが効果的です。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードサニタイジングを行わない場合のリスク
ここからは、サニタイジングをしない場合のリスクについて解説します。
セッションハイジャックを受ける
セッションハイジャックとは、ユーザがログイン中に利用しているセッションIDを盗み、不正に利用する攻撃のことです。サニタイジングせずに入力を処理してしまうと、不正なスクリプトを介してセッションIDが抜き取られる危険があります。
攻撃をした人は盗んだセッションを使って正規ユーザになりすまし、機密情報の閲覧や改ざん、不正操作などを行います。
XSS・SQLインジェクションによる攻撃を受ける
XSS（クロスサイトスクリプティング）は、Webページに不正なスクリプトを埋め込み、ユーザを危険なWebページに誘導する攻撃です。また、SQLインジェクションは、データベースとやり取りする際に不正なSQL文を入力し、機密情報の取得やデータ改ざんを可能にします。
この攻撃を受けると、ログイン情報やクレジットカード情報などの個人情報が抜き取られる可能性があります。
Webサイトが改ざんされる
サニタイジングを行わないまま不正な入力を受け入れると、Webサイトに悪意のあるスクリプトが埋め込まれ、表示内容が改ざんされる可能性があります。結果として、ページを訪れた人が誤った情報を信じ込み、企業への信頼が損なわれます。
さらには、法的責任を問われる恐れがあることも懸念点です。
強制的にページが遷移される
不正なスクリプトが仕込まれると、ユーザを意図しないページへ強制的に遷移されるリスクも発生します。この仕組みを悪用されると、ユーザはフィッシングサイトやマルウェア感染サイトに誘導され、個人情報を盗まれたり端末を感染させられる恐れがあります。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードサニタイジングを実施する方法
ここでは、サニタイジングを実施する方法について解説します。
JavaScript
JavaScriptには、サニタイジング用の関数がありません。そのため、ユーザが入力した値を独自に置き換える処理が必要です。
【コードの具体例】
function htmlentities(str){
return String(str).replace(/&/g,”&”)
}
上記のコードでは、文字列中の&を全て&に置き換える処理を施しています。これにより、不正なスクリプトであっても、安全に入力値を扱えます。
PHP
PHPでは、外部からの入力をサニタイジングするために、htmlspecialchars関数が活用できます。htmlspecialchars関数を呼び出すためのコードは、以下の通りです。
【コードの具体例】
htmlspecialchars($str, ENT_QUOTES, ‘UTF-8′);
これにより、HTMLタグを「<」や「>」に変換し、不正なスクリプト実行を防げます。
SQL
SQLにおいては、プリペアドステートメントの活用が推奨されます。プリペアドステートメントは、SQLを安全かつ効率的に実行する仕組みのことで、ユーザの入力値を実行時に安全に入れ込む役割を果たす点が特徴です。
【コードの具体例】
$stmt = $dbh->prepare(‘SELECT * FROM users WHERE name = :name’);
上記のコードによりプリペアドステートメントが準備され、データベースへの攻撃を防げます。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードサニタイジングに関する展望
サニタイジングはWeb上のセキュリティを担保する技術ですが、多様化する攻撃手法に対応するため今も進化を続けています。
近年はAIを活用してユーザを攻撃する技術も発展してきており、対応策としてサニタイジングの活用が進むと考えられます。今後も、サニタイジングはセキュリティ対策の一環として、ユーザを保護するための欠かせない取り組みです。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードまとめ
今後も多様化していくことが想定されるサイバー攻撃に備えるためには、サニタイジングを含めてセキュリティ性を高める取り組みが求められます。自社で取り組める具体的な方法を検討し、実行することが推奨されます。
もしサニタイジングの実施と併せてメールのセキュリティ性を高めたいと考えているなら、ぜひCloud Mail SECURITYSUITEの活用を検討してみてはいかがでしょうか。ランサムウェア・PPAP対策を徹底しており、メールを安全に使えるシステムです。メールシステムをサイバー攻撃から守りたいと考えている人は、ぜひお問い合わせください。
