Webアプリケーションへのサイバー攻撃は年々増加しています。セキュリティ対策を怠ると、個人情報の漏洩やサービスの停止など、深刻な被害につながります。
この記事では、Webエンジニアが最低限知っておくべきセキュリティの脆弱性と対策を7つ厳選して解説します。初心者でも理解できるよう、具体的な攻撃手法と防御方法をセットで紹介します。
なぜWebセキュリティを学ぶべきなのか
IPAの調査によると、Webアプリケーションの脆弱性に関する届出は毎年増加傾向にあります。特にSQLインジェクションやクロスサイトスクリプティング（XSS）による被害が多く報告されています。
セキュリティの知識は、エンジニアの必須スキルです。プログラミング独学ロードマップでも後半のステップとして位置づけられていますが、早い段階から基礎を理解しておくことで安全なコードを書く習慣が身につきます。
セキュリティインシデントが起きると、技術的な復旧コストだけでなく、ユーザーの信頼を失うという取り返しのつかないダメージを受けます。予防にかかるコストは、事後対応のコストの数十分の一です。
1. SQLインジェクション
SQLインジェクションは、入力フォームなどからSQL文を注入し、データベースを不正に操作する攻撃です。最も危険な脆弱性の一つで、データベース内の全データが流出する可能性があります。
攻撃の仕組みは、ユーザーの入力値がそのままSQL文に組み込まれることを悪用します。例えばログインフォームで「’ OR ‘1’=’1」と入力すると、認証をバイパスしてログインできてしまうケースがあります。
対策としては、プリペアドステートメント（パラメータ化クエリ）の使用が最も効果的です。ユーザーの入力値をSQL文とは分離して処理するため、不正なSQL文の注入を防げます。SQL入門ガイドで基本構文を学ぶ際にも、セキュリティを意識した書き方を身につけましょう。
2. クロスサイトスクリプティング（XSS）
XSSは、Webページに悪意のあるスクリプトを注入する攻撃です。攻撃者が仕込んだJavaScriptがユーザーのブラウザで実行され、Cookie情報の窃取やフィッシングサイトへの誘導が行われます。
XSSには3つの種類があります。反射型XSSはURLパラメータにスクリプトを含め、被害者にそのURLをクリックさせる手法です。格納型XSSは掲示板やコメント欄にスクリプトを保存し、ページを閲覧した全員に影響を与えます。DOM Based XSSはクライアントサイドのJavaScript処理の不備を突く手法です。
対策は、出力時のエスケープ処理が基本です。HTMLの特殊文字（<, >, &, “）をエンティティに変換します。Content Security Policy（CSP）ヘッダーの設定も効果的です。ReactやVue.jsなどのモダンフレームワークはデフォルトでXSS対策が組み込まれていますが、dangerouslySetInnerHTMLやv-htmlの使用時は注意が必要です。
3. CSRF（クロスサイトリクエストフォージェリ）
CSRFは、ログイン中のユーザーに意図しない操作を実行させる攻撃です。攻撃者が用意した罠ページにアクセスすると、ユーザーの権限で勝手にパスワード変更や送金処理が実行されてしまいます。
対策としては、CSRFトークンの導入が標準的です。フォーム送信時にランダムなトークンを生成し、サーバー側で検証することで、正規のリクエストかどうかを判別します。SameSite Cookie属性の設定も有効な対策です。
4. 認証・セッション管理の不備
認証やセッション管理の実装ミスは、アカウントの乗っ取りにつながります。セッションIDの予測可能性、ログイン試行回数の制限なし、パスワードの平文保存などが代表的な脆弱性です。
対策としては、パスワードはbcryptなどの安全なハッシュアルゴリズムで保存します。セッションIDは十分な長さのランダム文字列を使用し、ログイン成功時に再生成します。多要素認証（MFA）の導入も強力な防御策です。ログイン試行回数の制限やアカウントロック機能も実装しましょう。
5. セキュリティヘッダーの設定不備
HTTPレスポンスヘッダーには、ブラウザのセキュリティ機能を制御する重要なヘッダーがあります。これらを正しく設定しないと、さまざまな攻撃に対して脆弱になります。
設定すべき主要なセキュリティヘッダーは、X-Content-Type-Options（MIMEタイプスニッフィング防止）、X-Frame-Options（クリックジャッキング防止）、Strict-Transport-Security（HTTPS強制）、Content-Security-Policy（リソース読み込み制御）です。WordPressサイトでも.htaccessやプラグインで簡単に設定できます。
6. 機密データの露出
APIキーやデータベースの接続情報をソースコードにハードコーディングしてしまい、GitHubの公開リポジトリにプッシュしてしまう事故は非常に多いです。一度公開された秘密情報は、ボットによって瞬時にスキャンされます。
対策としては、環境変数や.envファイルで機密情報を管理し、.gitignoreに追加してバージョン管理から除外します。クラウドサービスのシークレットマネージャーを活用するのも安全な方法です。万が一漏洩した場合は、即座にキーを無効化して再発行しましょう。
7. 依存パッケージの脆弱性
現代のWebアプリケーションは多数のサードパーティパッケージに依存しています。これらのパッケージに脆弱性が発見されることも少なくありません。
対策としては、npm auditやSnykなどのツールで定期的に脆弱性をスキャンします。CI/CDパイプラインに脆弱性チェックを組み込めば、自動的にセキュリティ監視ができます。GitHubのDependabotを有効にすると、脆弱性が発見された依存パッケージの更新PRが自動生成されます。
セキュリティ対策の実践チェックリスト
開発時に確認すべきセキュリティ対策のチェックリストをまとめます。
入力値の検証とサニタイズを全てのユーザー入力に対して行います。SQLはプリペアドステートメントを使用します。HTML出力時のエスケープ処理を徹底します。HTTPS通信を強制し、セキュリティヘッダーを設定します。パスワードはハッシュ化して保存します。CSRFトークンを実装します。依存パッケージを定期的に更新します。エラーメッセージに内部情報を含めません。ログに機密情報を記録しません。
まとめ：セキュリティは開発の第一歩から意識する
この記事では、Webエンジニアが知るべき7つの脆弱性と対策を解説しました。SQLインジェクション、XSS、CSRF、認証の不備、セキュリティヘッダー、機密データの露出、依存パッケージの脆弱性と、いずれも実務で頻繁に遭遇する問題です。
セキュリティは後から追加するものではなく、設計・開発の初期段階から組み込むべきものです。「セキュリティ・バイ・デザイン」の考え方を持ち、安全なWebアプリケーションを構築しましょう。
セキュリティの基礎を理解したら、Linuxの基礎コマンドでサーバー管理のスキルも磨いてください。インフラレベルのセキュリティ知識と組み合わせることで、より堅牢なシステムを構築できます。
コメント