Security Center:アプリケーション保護とは

オペレーティングシステムの種類

サポート対象のオペレーティングシステム

Windows（64 ビット）

• Windows Server 2025

• Windows Server 2022

• Windows Server 2019

• Windows Server 2016

• Windows Server 2012

• Windows Server 2008

• Windows 11

• Windows 10

Linux（64 ビット）

• Alibaba Cloud Linux

• AlmaLinux

• Anolis OS

• CentOS 6、7、8

• CentOS Stream

• Debian 8 以降

• Gentoo

• OpenSUSE

• RHEL 6、7、8、9

• Rocky Linux

• SUSE Linux Enterprise Server

• Ubuntu 14.04 以降

• NeoKylin V7、Kylin V10

• TencentOS

• Oracle Linux 7、8、9

• openEuler 20.03、22.03

• EulerOS

• Amazon Linux 2、2023

攻撃タイプ

説明

防御策の推奨事項

JNI インジェクション

JNI インジェクションは、ランタイムアプリケーション自己保護（RASP）をバイパスする一般的な手法です。コード実行権限を取得した攻撃者は、Java Native Interface（JNI）関数を用いて悪意のあるダイナミックリンクライブラリを読み込み、Java レイヤーのセキュリティ保護を回避し、悪意のある行為を隠蔽します。

サーバーにコード実行脆弱性が存在する可能性があります。脆弱な箇所を特定し、コード実行機能を制限してください。

SQL インジェクション

SQL インジェクションは、ページリクエストまたは Web フォームのクエリ文字列に SQL コマンドを挿入し、サーバーが任意の SQL ステートメントを実行するよう誘導する攻撃です。攻撃者は、Web フォームに SQL ステートメントを入力することで、脆弱なウェブサイトからデータを抽出できます。

SQL インジェクションは、通常 SQL ステートメント内の文字列連結によって引き起こされます。可能な限り、入力パラメーターに対してプリコンパイル済みステートメントを使用してください。あるいは、ホワイトリストまたはブラックリストを用いてパラメーターの連結を制限してください。

XXE

XML 外部エンティティ（XXE）インジェクションは、XML パーサーが外部エンティティを処理する際に発生します。攻撃者はこれを悪用して任意のファイルを読み取ったり、コマンドを実行したり、内部ネットワークへの攻撃を開始したりできます。

XML 解析時に外部エンティティの読み込みが必要かどうかを確認してください。必要でない場合は、XML パーサーの構成で外部エンティティの処理を無効化してください。

悪意のある DNS クエリ

悪意のある DNS クエリは、複数の方法で悪用されます。攻撃者は DNS プロトコルを用いて内部ネットワークの制限をバイパスし、機密情報を流出させることができます。また、DNS クエリを用いて、サーバーサイドリクエストフォージェリ（SSRF）や JNDI インジェクションなどの脆弱性を内部システムに対して探査することも可能です。

悪意のある DNS クエリは、サーバーがユーザー制御型パラメーターへリクエストを送信する際に発生します。これらのパラメーターをレビューし、ホワイトリストを用いて制限してください。

悪意のあるリフレクティブ呼び出し

RASP 自己保護モジュールは、リフレクションを介して RASP 実行時データを攻撃者が改変することをブロックします。

サーバーにコード実行脆弱性が存在する可能性があります。脆弱な箇所を特定し、コード実行機能を制限してください。

悪意のあるアウトバウンド接続

サーバーサイドリクエストフォージェリ（SSRF）により、攻撃者はサーバーから内部システムへの攻撃を偽装したリクエストを送信できます。

SSRF の緩和策として、サーバーが初期化するリクエストのターゲットアドレス範囲を制限してください。ホワイトリストを用いて、信頼できる内部リソースへのアクセスのみを許可します。不要な外部ネットワークアクセスは無効化してください。

悪意のあるファイル読み取りおよび書き込み

Java はファイル I/O 操作のために RandomAccessFile クラスを提供しています。ファイルパスやコンテンツが適切に検証されていない場合、攻撃者は機密のシステムファイルを読み取ったり、マルウェアをアップロードしたりできます。

ファイルの読み取りおよびアップロードが期待通りに動作することを検証してください。異常が発生した場合は、関連する関数コードを調査し、ブラックリストによる制限を適用してください。

悪意のあるファイルアップロード

Web サイトがアップロードされるファイルの種類を制限していない場合、攻撃者はマルウェアをアップロードしてサーバーの特権を昇格させ、重大な被害を引き起こす可能性があります。

許可されるファイルの種類を制限してください。JSP などの実行可能ファイルのアップロードをブロックしてください。

コマンド実行

コマンド実行脆弱性は、サーバーがユーザー提供のコマンドをフィルター処理しないために発生し、ユーザーが任意のシステムコマンドを実行できるようになります。

リモートコマンド実行は、多くの場合 Web シェルや不適切なサーバーコードに起因します。コマンドが実行される箇所を特定してください。Web シェルは直ちに削除してください。機能が正当である場合は、ホワイトリストを用いて許可されるコマンドを制限してください。

ディレクトリトラバーサル

Web サイトの誤った設定により、Web サイトのディレクトリを制限なく閲覧できるようになり、非公開情報を漏洩させる可能性があります。攻撃者はこの情報を用いてさらに攻撃を展開できます。

ディレクトリトラバーサル操作が期待通りに動作することを検証してください。異常が発生した場合は、関連する関数コードを調査し、./ や ../ などの危険なパターンをブラックリストで制限してください。

インメモリ Web シェル注入

インメモリ Web シェルは新しいタイプのマルウェアです。攻撃者は専門的な手法を用いて、WAF やホストベースの防御を回避するために直接メモリに注入します。

サーバーにコード実行脆弱性が存在する可能性があります。脆弱な箇所を特定し、コード実行機能を制限してください。

任意のファイル読み取り

Web サイトが絶対パスやディレクトリトラバーサル文字を用いたファイルダウンロードまたは読み取りを許可し、ファイルパスの検証を行っていない場合、攻撃者は機密情報を取得し、サーバーを侵害できます。

ファイル読み取りが期待通りに動作することを検証してください。異常が発生した場合は、関連する関数コードを調査し、./ や ../ などの入力パラメーターをブラックリストで制限してください。

スレッド注入

スレッド注入は、RASP をバイパスする一般的な手法です。コード実行権限を取得した攻撃者は、新しいスレッドを作成して RASP の実行時コンテキストを妨害し、保護機能を弱めます。

サーバーにコード実行脆弱性が存在する可能性があります。脆弱な箇所を特定し、コード実行機能を制限してください。

悪意のある添付

Java Attach API は、実行時に動的なバイトコード変更を可能にします。攻撃者はこれを頻繁に用いて、エージェント形式のインメモリ Web シェルを注入し、検出を極めて回避しやすくなります。

サーバーにコード実行脆弱性が存在する可能性があります。脆弱な箇所を特定し、コード実行機能を制限してください。

JNDI インジェクション

JNDI ルックアップ中に、攻撃者がルックアップ URL を制御できる場合、サーバーに悪意のあるクラスの取得および読み込みを強制し、任意のコード実行を可能にします。

• 脆弱性がサードパーティ製コンポーネントに起因する場合は、直ちにパッチ適用済みのバージョンへアップグレードしてください。

• JNDI ルックアップコードを自社で記述している場合は、ルックアップ URL を制限し、危険なプロトコルをブロックしてください。

危険なプロトコルの使用

サーバーがユーザー制御型 URL にアクセスし、使用するプロトコルを制限していない場合、攻撃者は file や netdoc などの危険なプロトコルを用いて機密ファイルを読み取ることができます。

URL で許可されるプロトコルを制限してください。

デシリアライズ攻撃

Java のデシリアライズは、シリアル化された文字列から Java オブジェクトを再構築します。再構築されたオブジェクトに高リスクのコードが含まれている場合、攻撃者はデシリアライズ中のメンバー変数を操作して悪意のある動作をトリガーできます。

• 脆弱なコンポーネントを直ちにパッチ適用済みのバージョンへアップグレードしてください。

• パッチが利用できない場合は、影響を受ける機能を一時的に無効化してください。

任意のファイル削除

Web サイトのファイル削除インターフェイスがファイルパスを検証していない場合、攻撃者は絶対パスやディレクトリトラバーサル文字を用いて任意のファイルを削除し、サーバーを侵害できます。

ファイル削除が期待通りに動作することを検証してください。異常が発生した場合は、関連する関数コードを調査し、./ や ../ などの入力パラメーターをブラックリストで制限してください。

式インジェクション

式ライブラリは、実行時データの照会および処理など、豊富な機能を提供します。ただし、多くのライブラリは関数呼び出しといった高権限の操作もサポートしています。適切な制限が行われず、かつ攻撃者が式の内容を制御できる場合、任意のコードを実行できます。

式の入力を厳密に制限してください。ほとんどの Java 関数呼び出しをブロックしてください。問題がサードパーティ製コンポーネントに起因する場合は、直ちにパッチ適用済みのバージョンへアップグレードしてください。

エンジンインジェクション

Java には Rhino や Nashorn（JavaScript エンジン）、Velocity や FreeMarker（テンプレートエンジン）など、多数のサードパーティ製エンジンが存在します。これらは多くの場合、関数呼び出しといった高権限の操作をサポートしています。制限が行われず、かつ攻撃者がエンジンの入力を制御できる場合、任意のコードを実行できます。

エンジンの入力を厳密に制限してください。ほとんどの Java 関数呼び出しをブロックしてください。問題がサードパーティ製コンポーネントに起因する場合は、直ちにパッチ適用済みのバージョンへアップグレードしてください。

悪意のある Beans 結合

一部の Java フレームワークは、実行時の Beans をリクエストパラメーターに結合する機能をサポートしています。Beans の種類が制限されていない場合、攻撃者は機密の Beans を改変してアプリケーションの動作を妨害したり、任意のコードを実行したりできます。

結合可能な Beans の種類を制限してください。Class や ClassLoader などの機密タイプへの改変をブロックしてください。問題がサードパーティ製コンポーネントに起因する場合は、直ちにパッチ適用済みのバージョンへアップグレードしてください。

悪意のあるクラス読み込み

多くのゼロデイエクスプロイトおよび Web シェルは、悪意のあるクラス読み込みに依存しています。一度読み込まれると、攻撃者はクラス初期化時にコード実行権限を取得し、さらなる悪意のある行為を実行できます。

• 悪意のあるクラス読み込みが Web シェルによって駆動されている場合は、直ちに Web シェルを削除してください。

• フレームワークに起因する場合は、直ちにパッチ適用済みのバージョンへアップグレードしてください。

JSTL による任意のファイル包含

JavaServer Pages Standard Tag Library（JSTL）は、共通のアプリケーションロジックをカプセル化した JSP タグのコレクションです。ユーザー制御型パラメーターが検証なしに JSTL タグに直接連結される場合、攻撃者は悪意のあるスクリプトを作成して任意のファイルを読み取ったり、SSRF 攻撃を開始したりできます。

ユーザー制御型パラメーターを JSTL タグに直接連結しないでください。やむを得ず連結する場合は、パラメーターの内容に対して厳格なホワイトリスト検証を実施してください。

攻撃タイプ

説明

防御策の推奨事項

悪意のあるファイル包含

PHP のファイル包含脆弱性は、一般的なセキュリティ脆弱性です。攻撃者は入力の操作により、任意のファイルを包含および実行できます。この脆弱性は、include()、require()、include_once()、または require_once() などの関数を用いてスクリプト内で他のファイルを包含する際に発生します。

ユーザー提供のファイルパスを検証および制限してください。攻撃者が悪意のあるパスを挿入できないよう、アプリケーションディレクトリ内の事前定義済みファイルのみを許可してください。

悪意のあるアウトバウンド接続

サーバーサイドリクエストフォージェリ（SSRF）により、攻撃者はサーバーから内部システムへの攻撃を偽装したリクエストを送信できます。

SSRF を修正するため、サーバーが初期化するリクエストのターゲットアドレス範囲を制限してください。ホワイトリストを用いて、信頼できる内部リソースへのアクセスのみを許可します。不要なアウトバウンドネットワークアクセスは無効化してください。

デシリアライズ

PHP のデシリアライズ脆弱性は、重大なセキュリティ問題です。攻撃者はシリアル化されたデータを操作することで、任意の関数を実行できます。この脆弱性は、unserialize() 関数を用いる際に多く発生します。

信頼できないデータを直接デシリアライズしないでください。json_decode() またはその他の安全な代替手段を用いてください。デシリアライズが必須の場合は、データのソースを厳密に検証およびフィルターしてください。

コールバック関数の実行

PHP のコールバック関数には、array_map() や array_filter() などがあります。攻撃者がそのパラメーターを制御できる場合、任意の関数を実行し、システム全体を掌握する可能性があります。

PHP のコールバック関数の乱用を防止するため、array_map()、array_filter() および同様の関数に渡されるコールバック関数名がユーザー入力によって制御されないことを保証してください。許可されるコールバック関数はすべてホワイトリストで検証してください。

悪意のあるファイル読み取り／書き込み

ファイル読み取り／書き込み関数がファイルパスまたはコンテンツを制限していない場合、攻撃者は機密のシステムファイルを読み取ったり、マルウェアをアップロードしたりできます。

ファイル読み取り／書き込み脆弱性を防止するため、ファイルパスを厳密に検証および制限してください。事前定義済みのディレクトリへのアクセスのみを許可します。アップロード前にファイルのコンテンツをスキャンし、悪意のあるコードを検出してください。

任意のコード実行

任意のコード実行脆弱性は重大です。攻撃者はサーバー上で任意のコードを実行でき、完全制御、機密データの読み取りまたは改変、データの漏洩、Web サイトの改ざん、マルウェアのインストールなどが可能になります。これは通常、アプリケーションがユーザー入力を適切に検証しなかったために発生し、攻撃者が悪意のあるコードを注入できる状態となります。

厳密な入力検証および出力エンコーディングを用いてください。eval() や include() を用いてユーザー入力を直接処理しないでください。すべてのライブラリおよびフレームワークを最新の状態に保ってください。

任意のファイル読み取り

ファイル読み取りインターフェイスにフィルターおよびパス制限がない場合、攻撃者は絶対パスやディレクトリトラバーサルシーケンス（例：../）を用いてファイルを読み取りおよびダウンロードできます。これにより機密情報が漏洩し、さらなる攻撃が可能になります。

ファイル読み取りインターフェイスに厳密な入力検証およびパス制限を適用してください。ホワイトリストで検証済みのファイルへのアクセスのみを許可します。./ や ../ などの危険な入力パターンをブラックリストでブロックしてください。

任意のファイル削除

ファイル削除インターフェイスにパス制限がない場合、攻撃者は絶対パスやディレクトリトラバーサルシーケンスを用いて任意のファイルを削除できます。これによりサーバーが損傷する可能性があります。

ファイル削除インターフェイスに厳密な入力検証およびパス制限を適用してください。検証済みのファイルのみを削除できるようにしてください。./ や ../ などの危険な入力パターンをブラックリストでブロックしてください。

コマンド実行

コマンド実行脆弱性により、攻撃者はオペレーティングシステムのコマンドまたはコードをバックエンドサーバーに直接注入し、完全制御を獲得できます。

すべてのユーザー入力を厳密に検証およびフィルターしてください。未処理の入力から直接 OS コマンドを構築しないでください。可能な限り、システムコマンド実行の代わりに安全な API を使用してください。

ディレクトリトラバーサル

不適切な Web サイト設定により、攻撃者が Web サイトのディレクトリを自由に閲覧できるようになり、非公開情報の漏洩やさらなる攻撃を招く可能性があります。

適切なサーバー権限を設定し、.htaccess などのファイルを用いてディレクトリアクセスを制限してください。機密のディレクトリが一般に閲覧可能になっていないことを確認してください。

悪意のあるファイルアップロード

ファイルアップロード機能がファイルの種類を制限していない場合、攻撃者はマルウェアをアップロードしてより高い権限を獲得し、重大な被害を引き起こす可能性があります。

アップロードされるファイルの種類を厳密に制限および検証してください。安全なファイル拡張子のみを許可してください。.php などの実行可能拡張子をブロックしてください。サーバー側でファイルのコンテンツを再チェックし、安全性を確認してください。

弱点の種類

リスクレベル

説明

是正措置のアドバイス

不適切な Fastjson 構成

重大

アプリケーションで Fastjson のデシリアライズが有効になっています。攻撃者はこれを悪用してリモートコマンド実行を達成できます。絶対に必要でない限り、無効化してください。

Fastjson の safemode を true に、または autotype を false に設定してください。

不適切な log4j 構成

重大

log4j コンポーネントで lookup が有効になっています。攻撃者はこれを悪用して JNDI インジェクションを実行し、リモートコード実行を引き起こす可能性があります。

log4j を最新バージョンへアップグレードするか、JAR ファイルから org/apache/logging/log4j/core/lookup/JndiLookup.class を削除してください。

不適切な起動パラメーター

重大

攻撃者が JDWP デバッグポートにアクセスできる場合、任意のコードを実行し、リモートコード実行を引き起こす可能性があります。

必要でない限り、JDWP ポートを閉じるか、パブリックネットワーク上への公開を避けてください。JDWP が有効になっていないことを確認するため、常駐アプリケーションを監視してください。

弱い Shiro キー

重大

Shiro アプリケーションで弱い暗号鍵が使用されています。攻撃者はこれをクラックしてデシリアライズ攻撃を実行し、リモートコード実行を達成できます。

アプリケーション内の Shiro 暗号鍵を直ちに更新してください。

不適切な JMX 構成

中

弱い認証でリモート JMX 接続が有効になっています。攻撃者はリモートから接続してコマンドを実行する可能性があります。

リモート JMX 接続を無効化するか、強力な認証パスワードを使用してください。

不適切な Rhino 構成

中

Rhino フレームワークには、攻撃者がリモートコード実行を実行するために悪用できる危険なプロパティが含まれています。

まず、rhino を最新バージョンへアップグレードしてください。次に、SafeStandardObjects を用いて Rhino コンテキストを定義し、JavaScript エンジンが Java コードを呼び出すことを防止してください。

SafeStandardObjects を用いて Rhino コンテキストを定義する例を以下に示します。

 package com.aliyun.sample;

   import org.mozilla.javascript.Context;
   import org.mozilla.javascript.Scriptable;

   public class RhinoSecurityExample {
       public static void main(String[] args) {
           Context ctx = Context.enter();
           // Scriptable scope = ctx.initStandardObjects(); // 不適切
           Scriptable scope = ctx.initSafeStandardObjects(); // 適切
           ctx.setOptimizationLevel(-1);
           String str = "var test={};";
           str += "test.call=function(){return 'Successful!';};";
           str += "test.call()";  // 変更：JavaScript の結果のみを返し、Java 呼び出しは行わない
           try {
               // JavaScript コードを渡して実行
               Object result = ctx.evaluateString(scope, str, "", 1, null);
               System.out.println("JavaScript 実行結果: " + result);
           } catch (Exception e) {
               e.printStackTrace();
           } finally {
               Context.exit();
           }
       }
   }

不適切な Spring 構成

中

Spring Actuator で heapDump、env、restart、refresh、trace、jolokia、h2-console などのエンドポイントが有効になっています。これにより、機密情報の漏洩やリモートコード実行が可能になる可能性があります。

必要でない限り、これらのエンドポイントを無効化してください。

弱いログイン認証情報

中

アプリケーションで弱いログインパスワードが使用されています。攻撃者はブルートフォース攻撃を用いてシステムにアクセスし、機密データを盗むか、サーバーの制御を獲得する可能性があります。

アプリケーションのパスワードを直ちに強力なものに変更してください。

不適切な JNDI 構成

低

アプリケーションで useCodebaseOnly、rmi-trustURLCodebase、ldap-trustURLCodebase の不適切な設定が使用されており、JNDI インジェクションのリスクがあります。

JDK を最新バージョンへアップグレードしてください。アップグレードができない場合は、アプリケーション起動時に以下の起動パラメーターを追加してください：

-Djava.rmi.server.useCodebaseOnly=true -Dcom.sun.jndi.rmi.object.trustURLCodebase=false -Dcom.sun.jndi.ldap.object.trustURLCodebase=false

不適切な XML エンティティ構成

低リスク

XML 外部エンティティの解析が有効になっており、XXE 攻撃にさらされる可能性があります。

必要でない限り、外部エンティティの使用を避けてください。

弱いデータベースパスワード

低

アプリケーションで弱いパスワードを用いてデータベースに接続しています。攻撃者はこれを用いてデータベースにアクセスし、機密データを漏洩させたり、リモートコマンド実行を達成したりする可能性があります。

データベース接続パスワードを直ちに強力なものに変更してください。