サイバー攻撃 ネット世界の裏側で起きていること

サイバー攻撃から身を守るには、攻撃者の手口を知る必要がある。サイバー攻撃の足がかりとなるソフトウェアの「脆弱性」は、なぜ生まれてしまうのか? 脆弱性はどのように悪用されるのか? 脆弱性が発見されると、誰がどんな対応をとるのか? さまざまな事例を使い、情報セキュリティの舞台裏で繰り広げられる攻防戦を解説する。さらに、脆弱性情報が売買される巨大市場や、すでに起きているサイバー戦争を紹介する。

村井純氏 (慶應義塾大学環境情報学部 教授) 推薦!
「インターネットを前提としたデジタル文明が開化した。
テクノロジーは善用するのが前提だけど悪用する奴もいる。
セキュリティ研究の先端研究に携わる著者がネットのリスクについて丁寧に解説する。
すべての人に読んでもらいたい。」

サイバー攻撃から身を守るには、攻撃者の手口を知る必要がある。気鋭の研究者による、情報セキュリティの超入門書!

サイバー攻撃の足がかりとなるソフトウェアの「脆弱性」は、なぜ生まれてしまうのか? 脆弱性はどのように悪用されるのか? 脆弱性が発見されると、誰がどんな対応をとるのか? さまざまな事例を使い、情報セキュリティの舞台裏で繰り広げられる攻防戦を解説する。さらに、脆弱性情報が売買される巨大市場や、すでに起きているサイバー戦争を紹介する。

【おもな内容】
第 1 章 サイバー攻撃で悪用される「脆弱性」とは何か
第 2 章 サイバー攻撃は防げるか: 脆弱性の発見・管理・修正
第 3 章 プログラムの制御はいかにして乗っ取られるか: バッファオーバーフローの脆弱性
第 4 章 文字列の整形機能はいかにして攻撃に悪用されるか: 書式指定文字列の脆弱性
第 5 章 いかにして Web サイトに悪意あるコードが埋め込まれるか: クロスサイト・スクリプティングの脆弱性
第 6 章 機密情報はいかにして盗まれるか: SQL インジェクションの脆弱性
第 7 章 脆弱性と社会: 脆弱性市場からサイバー戦争まで
第 1 章 サイバー攻撃で悪用される「脆弱性」とは何か
第 2 章 サイバー攻撃は防げるか: 脆弱性の発見・管理・修正
第 3 章 プログラムの制御はいかにして乗っ取られるか: バッファオーバーフローの脆弱性
第 4 章 文字列の整形機能はいかにして攻撃に悪用されるか: 書式指定文字列の脆弱性
第 5 章 いかにして Web サイトに悪意あるコードが埋め込まれるか: クロスサイト・スクリプティングの脆弱性
第 6 章 機密情報はいかにして盗まれるか: SQL インジェクションの脆弱性
第 7 章 脆弱性と社会: 脆弱性市場からサイバー戦争まで

ソフトウェアの「脆弱性」はなぜ生まれ、どのように悪用され、見つかったあとに誰が何をするのか。『サイバー攻撃 ネット世界の裏側で起きていること』 (中島 明日香 著、講談社、2018 年 1 月発売) は、この問いを軸にサイバー攻撃の仕組みを解説するブルーバックス (通巻番号 2045) の一冊です。版元は本書を「気鋭の研究者による、情報セキュリティの超入門書!」と紹介し、さまざまな事例を使って情報セキュリティの舞台裏で繰り広げられる攻防戦を解説すると案内しています。紹介文には、村井純氏 (慶應義塾大学環境情報学部 教授) の「すべての人に読んでもらいたい。」という推薦の言葉が添えられています。

全 7 章の構成、脆弱性の正体から社会との関わりまで

目次は全 7 章です。第 1 章「サイバー攻撃で悪用される「脆弱性」とは何か」で前提をそろえ、第 2 章「サイバー攻撃は防げるか: 脆弱性の発見・管理・修正」で脆弱性が見つかってから修正されるまでの流れを扱います。第 3 章から第 6 章は脆弱性の種類ごとの章で、第 3 章「プログラムの制御はいかにして乗っ取られるか: バッファオーバーフローの脆弱性」、第 4 章「文字列の整形機能はいかにして攻撃に悪用されるか: 書式指定文字列の脆弱性」、第 5 章「いかにして Web サイトに悪意あるコードが埋め込まれるか: クロスサイト・スクリプティングの脆弱性」、第 6 章「機密情報はいかにして盗まれるか: SQL インジェクションの脆弱性」と並びます。最後の第 7 章「脆弱性と社会: 脆弱性市場からサイバー戦争まで」は、紹介文が述べる「脆弱性情報が売買される巨大市場」と「すでに起きているサイバー戦争」に対応する章です。

4 種類の脆弱性に共通する、入力が命令に化ける仕組み

章の題に並ぶ 4 種類の弱点は、見た目は別々でも根は似ています。どれも、データとして受け取ったはずの入力が、どこかの段階で命令や構文の一部として解釈されてしまうことから起きます。C 言語のように配列の境界を自動では検査しない言語では、決められた大きさを超えて書き込まれた入力が、メモリの配置 上で隣り合う領域、たとえば関数の戻り先の情報まで上書きし得ます。printf 系の関数では、文字列の中の指定子が書式の指示として扱われます。Web の世界でも、ブラウザーが入力を HTML やスクリプトとして読めば画面に別のコードが紛れ込み、データベースが入力を SQL の構文として読めば検索の条件そのものが書き換わります。防ぐ側の考え方も同じ線上にあり、境界を検査する、入力を構文と混ぜずに渡す、表示の直前に意味を持つ記号を無害な文字に置き換える、といった対策はいずれもデータと命令の区別を取り戻すためのものです。この共通点を一度つかんでおくと、名前の違う攻撃の報道を見たときにも、何が起きたのかを自分で分解できるようになります。

コードを書かない読者にも、開発を始めた人にも向く理由

新書の判型で一般向けの叢書に収められた本であり、推薦文も「すべての人に」と呼びかけています。仕事でセキュリティを担当していない人が、ニュースで目にする攻撃の名前と、その背後にある仕組みを結び付けるための入門として読みやすい位置にあります。プログラミングを学び始めた人やこれから Web アプリケーションを作る人にとっては、自分の書くコードのどこに危険が入り込むのかを、具体的な対策の手順書に進む前に原理として押さえる助けになります。一方で、2018 年 1 月の発売であり、事例や攻防の状況は刊行時点までのものです。脆弱性診断の手順や防御製品の運用を実務として身につけたい場合は、対象を絞った技術書を別に選ぶ必要があります。目的に合わせて分野別に本を選び分けたい場合は セキュリティ本の選び方 も参考になります。

攻撃の名前は知っているのに中身を説明できない、脆弱性がなぜ売り買いされるのかが腑に落ちない、という段階にいる人にとって、一冊で原理から社会の側面までを見通せる本書は、専門書へ進む前の足場として手に取りやすい選択肢です。