A-1セキュリティ実装技術・評価 · セキュア開発・実装
SQLインジェクション対策
SQL Injection Countermeasures
えすきゅーえるいんじぇくしょんたいさく
入力値によってSQL文の構造を変えられ、データベースを不正に操作されるSQLインジェクションを防ぐ対策。SQL文の構造を先に確定させて値だけを後から渡すプレースホルダ（バインド機構）を使うのが根本的な対策で、使えない場合はSQLの文法に従ってエスケープする。データベースのアカウントの権限を最小限にする、エラーメッセージに詳細を出さない、WAFで攻撃を検知するといった対策も併用する。
共有:
Related
他の資格での定義
Past Exams
過去問での出題
過去問で 9 回出題（情報処理安全確保支援士試験 8・システムアーキテクト試験 1）
- 令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA の PDF を新しいタブで開きます）
- 令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA の PDF を新しいタブで開きます）
- 平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA の PDF を新しいタブで開きます）
- 平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA の PDF を新しいタブで開きます）
- 平成27年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問17（IPA の PDF を新しいタブで開きます）
- 平成25年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問15（IPA の PDF を新しいタブで開きます）
- 平成24年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問16（IPA の PDF を新しいタブで開きます）
- 平成21年度 秋期 システムアーキテクト試験 午前Ⅱ 問4（IPA の PDF を新しいタブで開きます）
- 平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14（IPA の PDF を新しいタブで開きます）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
A-1WAF（Web Application Firewall）
Webアプリケーションへの通信の内容（HTTPのリクエストやレスポンス）を検査し、SQLインジェクションやクロスサイトスクリプティングなど、アプリケーションの脆弱性を狙う攻撃を検知・遮断する仕組み。IPアドレスやポート番号で制御するファイアウォールでは防げない攻撃に対応し、脆弱性を修正するまでの暫定的な防御にも使われる。
PD-Sリバースプロキシ
Webサーバの手前に置き、インターネットからの要求をいったん受けて、内部のWebサーバへ中継するサーバ。内部のサーバを直接公開せずに済み、TLSの処理の集約、負荷分散、キャッシュによる応答の高速化、WAFによる攻撃の遮断などの機能を持たせられる。