情報処理安全確保支援士 2023年 春期 問17

SQL インジェクション対策について、Webアプリケーションプログラムの実装にお ける対策と、Webアプリケーションプログラムの実装以外の対策の組みとして、適切 なものはどれか。 Webアプリケーションプログラムの Webアプリケーションプログラムの 実装以外の対策 実装における対策 chroot 環境でWebサーバを稼働させ Webアプリケーションプログラム中で

ア

る。 シェルを起動しない。 セッションIDを乱数で生成する。 TLS によって通信内容を秘匿する。

イ

パス名やファイル名をパラメータとし 重要なファイルを公開領域に置かな

ウ

て受け取らないようにする。 い。 Web アプリケーションプログラムが利 プレースホルダを利用する。 用するデータベースのアカウントがも

エ

つデータベースアクセス権限を必要最 小限にする。

正解と解説

表示する

正解 エ

つデータベースアクセス権限を必要最 小限にする。

SQLインジェクション対策では、アプリケーション実装面ではプレースホルダ(バインド機構)を利用し、実装以外の面ではDBアカウントのアクセス権限を必要最小限にするのが適切なので(エ)が正解です。この二重の対策で被害の発生と影響を抑えます(図は直接参照できません)。