| 作成者 |
|
|
|
|
|
|
|
| 本文言語 |
|
| 出版者 |
|
|
|
| 発行日 |
|
| 収録物名 |
|
|
|
| 巻 |
|
| 開始ページ |
|
| 出版タイプ |
|
| アクセス権 |
|
| 関連DOI |
|
| 関連URI |
|
| 関連情報 |
|
| 目次 |
SQLインジェンクション攻撃はウェブアプリケーションにおける重大なセキュリティリスクの一つである．その中でも，セカンドオーダーインジェクション攻撃の発生数は増加傾向にあるが，対応する検知手法は少ない．セカンドオーダーインジェクション攻撃では，サーバに送信された悪意あるコマンドがすぐには実行されず，データベースに保存される．そして，後ほど他のリクエストにより悪意あるコマンドが実行される．当該攻撃の対策として，静的コード分析が提案されている．しかし，これらは脆弱性の発見が主な目的であり実際の攻撃を検知することは難しい，またデータフローの分析が非効率である．本論文では，情報理論を用いて悪意あるSQLクエリを検出する方法を提案する．悪意あるSQLクエリには脆弱性を利用するためのコードが含まれている点に着目し，提案手法では代表的なSQLクエリテンプレートと実際にデータベースから読み出したデータで構成するSQLクエリのエントロピー値を比較し，攻撃を判定する．本提案手法は，静的分析と動的計算の二段階からなる．静的分析段階ではコードを分析し，データベースから読み出したデータで構成する脆弱性の疑いのあるSQLクエリを抽出する．動的計算ではエントロピー値を計算し攻撃を検知する．セカンドオーダーSQLインジェクションの脆弱性を持つ二つのアプリケーションを用いて本提案手法の評価を行った．
|
Mendeley出力
SCIS2016ー肖玲歓