情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度春期 午前Ⅱ 問17: SQLインジェクション対策について，Webアプリケーションの実装における対策とWebアプリケーションの実装以外の対策として，ともに適切なものはどれか。

正解

エ. プレースホルダを利用する。／データベースのアカウントがもつデータベースアクセス権限を必要最小限にする。

正答率 100.0%（1人中 1人が正解）

問題の解説

SQLインジェクション対策の本命は、アプリ実装ではプレースホルダ(バインド機構)を使い、入力値をSQL構文ではなくデータとして扱うこと。実装以外では、万一突破された場合の被害を抑えるため、DBアカウントの権限を必要最小限にする多層防御が有効。実務ではこの両輪で、注入の防止と侵害時の被害局限を同時に確保する。

選択肢ごとの解説

• アシェル起動回避やchrootはOSコマンドインジェクション側の対策であり、SQLインジェクションの対策ではないため誤り。
• イ乱数セッションIDやTLSはセッション保護・盗聴対策であり、SQLインジェクション対策ではないため誤り。
• ウパス名を受け取らない等はディレクトリトラバーサル対策であり、SQLインジェクションの対策ではないため誤り。
• エプレースホルダ利用とDB権限の最小化はSQLインジェクションの実装内・実装外対策として正しい。