ウェブアプリケーションの脆弱性を引き起こす、忘れられた人的要因

2018年版ベライゾン・データ漏洩調査報告書（DBIR）は、サイバー犯罪の最新トレンドやインシデントの要因など、サイバーセキュリティの現状を把握する上で今年も非常に有益な資料です。この分析と洞察は、組織のセキュリティプログラムを成熟させる一助となるでしょう。ベライゾンの調査チームは今年、53,000件以上のインシデントと2,200件余りの漏洩事例を分析しました。そこからは、何に注意し、何を避けるべきかという具体的な教訓や、セキュリティ対策をどこに集中させるべきかという貴重な提言が得られます。2018年版の報告書は時代とともに進化しており、セキュリティの影響が広がり、ビジネス上の主要な課題として認識されるようになった今、より幅広いビジネス層にとって関連性の高い内容となっています。

数ある興味深い調査結果の中でも、2018年版報告書は、依然としてハッキングの大部分がウェブアプリケーションの脆弱性を突いて発生していることを裏付けています（これを視覚的に示すインタラクティブなチャートも用意されています）。

ウェブアプリケーション攻撃とは、ウェブアプリケーションが攻撃のベクトルとなったあらゆるインシデントを指します。これには、アプリケーションのコードレベルの脆弱性を突く攻撃や、認証メカニズムの回避が含まれます。注目すべきは、顧客所有のデバイスから盗まれた認証情報を用いたボットネットによる攻撃がフィルタリングされたことで、このパターンの漏洩件数が減少している点です。それでも、ウェブアプリケーションに関連する漏洩において、盗まれた認証情報の悪用は依然としてハッキング手法のトップであり、それにSQLインジェクション（SQLについては後述します）が続いています。

今年の報告書で際立っているテーマの一つは、セキュリティにおいて「人的要因」がいかに重要かという点です。それは問題の一部であると同時に、解決策の一部でもあります。報告書は外部および内部の攻撃者の両方に触れており、漏洩の約5件に1件（17%）が人的ミスに起因していると指摘しています。従業員が機密情報を適切に破棄しなかった場合、誤った相手にメールを送信した場合、あるいはウェブサーバーの設定を誤った場合に漏洩が発生しています。報告書は、これらに悪意はなかったとしても、結果として大きな損失を招く可能性があると警告しています。

しかし、多くのセキュリティ漏洩を引き起こしながらも忘れられがちな人的要因があります。それは、開発者がセキュリティ上の欠陥を含むコードを頻繁に作成しているという事実です。これがウェブアプリケーションの脆弱性につながり、結果としてインシデントや漏洩を招いているのです。

過去5年間のアプリケーションテストを見ても、発見される脆弱性の数に大きな改善は見られず、同じ古い欠陥が何度も繰り返されています。40万件のアプリケーションスキャンに基づいた2017年のベラコード（Veracode）の報告書によると、OWASP Top 10ポリシーに合格したアプリケーションはわずか30%でした。驚くべきことに、過去5年間（昨年を含む）にスキャンされた新規アプリケーションの約3件に1件でSQLインジェクションが確認されています。私が「驚くべき」と言うのは、SQLインジェクションが1999年から存在しているからです。SQLインジェクションを含む同じ欠陥が一貫して発見され続けているという事実は、開発者におけるこの「人的要因」の問題が適切に対処されていないことの証左です。

ここで私は声を大にして言いたい。私はこの議論において、開発者の側に立っています。なぜ重要なのか、安全でないコードがどのような結果を招くのか、そして何より、それぞれのプログラミングフレームワークで脆弱性を生み出さないためにはどうすればよいのか。これらを誰も教えない中で、開発者にセキュアなコードを書けと言うのは無理があるのではないでしょうか。

それこそがSecure Code Warriorの使命です。私たちは、開発者の日常業務に実践的なセキュアコーディングトレーニングを組み込んでいる企業において、ウェブアプリケーションの脆弱性が減少しているという強力な証拠を目の当たりにしています。開発者がセキュアなコードを書くためには、スキルを能動的に高められる実践的な学習の機会が定期的に必要です。彼らは、実際のコードを用いて、自分たちが使用する言語やフレームワークに特化した最新の脆弱性について学ぶ必要があります。この学習体験を通じて、既知の脆弱性を特定し、修正する方法を理解できるはずです。また、開発者には、セキュリティを容易にし、作業を妨げることなく、優れたコーディングパターンと悪いコーディングパターンをリアルタイムでガイドしてくれる高品質なツールセットも必要です。

これこそが、ウェブアプリケーションの漏洩件数を減らすための、具体的かつ前向きなアプローチです。

私は、企業全体でセキュリティ意識向上トレーニングを強化する必要があるというベライゾンの見解に強く同意します。CIOやCISOへの追伸として、「開発者のことを忘れないでください！」と伝えたい。現代のビジネスを構築する彼らは、ハッカーの侵入口を日常的に作り出してしまう「人的要因」にもなり得ますが、一方で、あなたの最初の防衛線であり、セキュリティのヒーローにもなり得るのです。

開発者に対する効果的なセキュリティスキルの向上は、ベライゾンの将来の報告書の結果に真の変化をもたらす可能性があります。2019年版の報告書で、開発者のセキュリティトレーニングが企業にとって重要なリスク低減戦略として反映されることを期待しています。私は楽観主義者ですが、もし企業が開発者にインジェクション攻撃を防ぐ方法を学ばせれば、この報告書におけるウェブアプリケーションの脆弱性は大幅に減少すると確信しています。

開発者が理想的なゲーミフィケーション環境でいかに迅速にスキルアップできるか、当社のプラットフォームをぜひご覧ください。

セキュアコーディングの課題に挑戦する

無料の学習リソースを見る

なぜ重要なのか、安全でないコードがどのような結果を招くのか、そして何より、それぞれのプログラミングフレームワークで脆弱性を生み出さないためにはどうすればよいのか。これらを誰も教えない中で、開発者にセキュアなコードを書けと言うのは無理があるのではないでしょうか。