企業をサイバーセキュリティのリスクから守る
OODAセキュリティ

身代金要求型不正プログラムとも呼ばれるランサムウェアは、パソコンなどのファイルを暗号化したりロックすることで使用不能にし、復号化やロック解除と引き換えに身代金（Ransom）を要求してきます。ランサムウェアはメールで送られてくる以外に不正に改ざんされた偽サイトにも存在し、アクセスするだけで感染してしまいます。

SQLインジェクションとは、データベースと連携するWebアプリケーションの脆弱性を悪用するタイプのサイバー攻撃です。本来の意図とは異なるSQL文（データベースを操作する言語）が作成され、データベースを不正に操作されるサイバー攻撃のことを言います。インジェクションとは“注入”という意味ですが、攻撃者は特殊な文字列を入力することであり得ない動作をさせてしまいます。SQLインジェクション攻撃によりデータベース操作が可能になると、適切な処理が行えなくなり、情報漏えいやデータ改ざんなどの被害につながります。

クロスサイトスクリプティング（XSS）とは、Webサイトの脆弱性を悪用したサイバー攻撃の一つです。攻撃者は掲示板などWebサイトの訪問者に入力を許すページに罠を仕掛け、悪質なサイトへ誘導。そのサイトを閲覧すると悪意のあるコードが実行され、サイトを訪れたユーザーの個人情報を盗んだり、マルウェア感染させたりします。
IPAによれば2020年のウェブサイトの脆弱性の種類別届出状況でクロスサイトスクリプティングの割合が58％を占めています。

参照元：【PDF】IPAソフトウェア等の脆弱性関連情報に関する届出状況p.15（ https://www.ipa.go.jp/files/000086442.pdf）

ファイルインクルードとは、プログラムの中で別ファイルを参照（ファイルインクルード）している場合、攻撃者が意図的にファイル名を修正し、別ファイルを読み込ませることで不正な処理をさせることを言います。システムが外部のファイルを読み込む場合はリモートファイルインクルード、システム内のファイルを読み込む場合はローカルファイルインクルードと呼びます。
これにより機密情報の流出やWebアプリケーションの改ざん、他のサーバー攻撃と組み合わせてシステムを乗っ取るといったことが起きます。

攻撃者が脆弱性のあるWebアプリケーションなどを通して、不正なOSへのコマンドを送信することで、PCやサーバを不正操作するサイバー攻撃のことをOSコマンドインジェクションと言います。ユーザーからのデータや数値入力にプログラムに与えるパラメータを紛れ込ませ、OSに対する誤った命令を行う仕組みになっています。
コマンドによってサーバーに不正な処理を行わせることができるので、発生する脅威・被害もさまざま。サーバ内ファイルの閲覧や改ざん、OSのシャットダウンやユーザーアカウント変更、ウイルス・ワームなどの不正プログラムをダウンロードしたり…などが想定されます。

サイバー攻撃の手法の一つで、通常はアクセスを許可していない非公開のファイルやディレクトリ情報を取得し、不正アクセスを行うことをディレクトリトラバーサルと言います。トラバーサルとは「横断する」という意味で、ディレクトリ階層を移動するようなパスをプログラムに与えることで非公開ファイルを呼び出し、不正処理を行います。
攻撃者は複数のパターンで試行を繰り返すことでディレクトリを横断し、パスワードや個人情報が入ったファイルなどを探り当てます。それにより情報漏洩やアカウントのなりすまし、データの改ざんといった被害を受けることになります。

攻撃者がサーバーにデータを送信し、そのレスポンスや挙動の違いからWebアプリケーションの構造を探る攻撃です。最終的にデータベースの管理に関わる情報を盗み出しますが、通常のSQLインジェクションのように入力フォームは使わずに、攻撃者に直接データが送信されないためブラインドSQLインジェクションと呼ばれます。
脆弱性を突かれて攻撃用のSQL文（データベースを操作する言語）を実行されると、情報漏えいやデータ改ざんなどの被害を受けることになります。