令和1年度 秋期 情報処理安全確保支援士 午前II 問17

次に、Webアプリケーションプログラムの実装以外の対策として「Webアプリケーションプログラムが利用するデータベースのアカウントがもつデータベースアクセス権限を必要最小限にする」が挙げられます。これは、万が一SQLインジェクションが発生した場合でも、攻撃者が実行できる操作を制限することで、被害を最小限に抑えるための対策です。最小権限の原則とも呼ばれます。

アは、Webアプリケーションプログラム中でのシェル起動をしないことはWebアプリケーションの実装における対策として有効ですが、chroot環境でのWebサーバ稼働はOSレベルのセキュリティ設定であり、SQLインジェクション対策に直接寄与するものではありません。

イは、セッションIDの乱数生成はセッションハイジャック対策であり、TLSによる通信秘匿は通信内容の盗聴・改ざん防止策であり、これらはSQLインジェクションとは直接関連が薄いです。

ウは、パス名やファイル名をパラメータとして受け取らないようにすることは、パス・トラバーサル攻撃対策であり、重要なファイルを公開領域に置かないことはWebサーバの一般的なセキュリティ対策ですが、SQLインジェクション対策としては限定的です。