サブクエリとSQLインジェクション
はじめに SQLインジェクションという攻撃手法(脆弱性)は10年以上前から基本的な原理は変わっていません。しかし攻撃される対象であるデータベースそのものは少しずつ進化し、新たな機能や文法、関数をサポートしていきます。そのため、SQLインジェクションの脆弱性が存在する場合に、そこから「どのように攻撃して、その結果何ができるか？」という点については、データベースの進化に合わせた変化があります。 WAFは防御対象となるウェブアプリケーションに脆弱性がある前提でSQLインジェクション攻撃を見つけるものであるため、データベースの比較的新しい機能や文法を使われたとしても、きちんと見つけることができるようになっていることが理想的です。 Scutumにおいてもデータベースが比較的最近サポートするようになった文法等に合わせて防御を強化しています。今回はサブクエリを使ったSQLインジェクションを例として紹介し
データベース暗号化が必要な「理由」と「3大方式」を理解する
データベース暗号化が必要な「理由」と「3大方式」を理解する：今さら？ 今こそ！ データベースセキュリティ（5）（1/2 ページ） 本連載では、データベースセキュリティの「考え方」と「必要な対策」をおさらいし、Oracle Databaseを軸にした「具体的な実装方法」や「Tips」を紹介していきます。今回は、「なぜ、データベースを暗号化しなければならないのか」について解説します。 連載バックナンバー 暗号化は万能ではない セキュリティ対策といえば「暗号化」を思い浮かべる人は多いでしょう。しかし、「セキュリティ対策＝（イコール）暗号化」ではありません。 個人情報保護委員会によるセキュリティ対策ガイドライン「個人情報保護法ガイドライン（通則編）」には、「持ち運ぶ個人データの暗号化」「個人データを含む通信の経路又は内容を暗号化」というように、移動中のデータの情報漏えいを防ぐための手法の例として暗
データベースセキュリティに求められる「3つの軸」とコストの最小化
データベースセキュリティに求められる「3つの軸」とコストの最小化：今さら？ 今こそ！ データベースセキュリティ（4）（1/3 ページ） 本連載では、データベースセキュリティの「考え方」と「必要な対策」をおさらいし、Oracle Databaseを軸にした「具体的な実装方法」や「Tips」を紹介していきます。今回は、「データベースのセキュリティ対策で考えるべき3つの軸とコストバランスの考え方」を解説します。 連載バックナンバー データベースのセキュリティ対策で考えるべき3つの軸 前回まで、「データベースのセキュリティ対策」といっても特別なことをするのではなく、結局は「アカウント管理」「アクセス制御」「暗号化」「監査・監視」であると説明してきました。今回はあらためて、「データベースでのセキュリティ対策の全体像」で誤解されがちなことをまとめてみます。 まず、アクセス制御や暗号化と、監査・監視には
なぜ、今「データベースセキュリティ」なのか──安全なデータベースに必要な「5つ」の基本
なぜ、今「データベースセキュリティ」なのか──安全なデータベースに必要な「5つ」の基本：今さら？ 今こそ！ データベースセキュリティ（1）（1/2 ページ） 本連載では、データベースセキュリティの「考え方」と「必要な対策」をおさらいし、Oracle Databaseを軸にした「具体的な実装方法」や「Tips」を紹介していきます。初回は、「データベースセキュリティの基本的な考え方」を解説します。 近年、サイバー攻撃や内部不正などで、企業の存続をも脅かす情報漏えい被害が至るところで発生しています。ひと昔前までは“直接外部ネットワークにつながっていないために安全”と考えられていたデータベースも攻撃を受け、データベースから情報が漏えいした事件の報告も増えています。 実は米調査会社Forrester Researchによると、情報を実際に格納しているデータベースに対するセキュリティ対策の実施状況は「
「データベース暗号化」の必要性と注意すべきポイント
「データベース暗号化」の必要性と注意すべきポイント：システムインテグレーションとセキュリティ（2）（2/2 ページ） 「バックアップ」の暗号化 バックアップを保存する外部メディア（テープ、光学メディア、USBメモリなど）の利用については、技術的な対策やポリシーの策定によって制限するのが基本です。しかし、内部犯行などにより、こうしたセキュリティ対策をかいくぐってデータが窃取されてしまうケースもあります。従って、ディスクやテープに保管したバックアップが盗まれてしまった場合にも、バックアップデータを解析できないようにするために、暗号化が重要になります。 Oracle Databaseの場合、バックアップデータはテープに取得して管理されることが多いようです。テープに保管したバックアップデータの暗号化には、Oracle Advanced Securityライセンスが必要となります。また、他にもRMA
Column SQL Truncation脆弱性にご用心
前回のブログ記事「CMS四天王のバリデーション状況を調査したところ意外な結果になった」にて、JoomlaとMovableTypeは長大なログイン名を登録することにより、ログイン名の重複が起こり得ることを指摘したところ、facebookの私のウォールにて、Column SQL Truncation脆弱性の話題になりました。Column SQL Truncationは、2008年にWordPressの脆弱性として報告されたことがあります（参照、参照）。 本稿では、簡単なログイン機能のSQL呼び出し例を用いてColumn SQL Truncationを説明したいと思います。 認証用テーブル定義の説明 認証に用いる会員テーブルを下記とします。ご覧のように、ログイン名を示す列 username には一意制約がありません。（追記）一意制約はふつうあるだろと思われるでしょうが、CMS四天王の中で一意制約
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DBに保存されたクレジットカード情報をバックドア経由で盗むデモンストレーション（Type3） - YouTube
あなたの知らない
データベースのロギングの世界 / logging queries
DBSに必要な「認証技術」の基礎