情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅱ 問17: SQL インジェクション対策について，Web アプリケーションプログラムの実装における対策と，Web アプリケーションプログラムの実装以外の対策として，ともに適

正解

エ. 実装における対策：プレースホルダを利用する。／実装以外の対策：Web アプリケーションプログラムが利用するデータベースのアカウントがもつデータベースアクセス権限を必要最小限にする。

問題の解説

SQLインジェクション対策の本筋は、SQL文の構造と値を分離するプレースホルダ(バインド機構)を使う実装である。さらに被害を抑える実装外の対策として、DBアカウントの権限を必要最小限にすれば万一の侵入時の影響を限定できる。両者が適切なのはエ。他の選択肢はOSコマンドインジェクションやセッション管理、ディレクトリトラバーサルなど別脆弱性向けの対策で、SQLi対策としては的外れ。

選択肢ごとの解説

• アシェル非起動やchrootはOSコマンドインジェクション対策で、SQLインジェクション対策ではない。
• イセッションID乱数化やTLSはセッション保護や盗聴対策で、SQLインジェクションを防ぐものではない。
• ウパス名を受け取らない等はディレクトリトラバーサル対策で、SQLインジェクション対策ではない。
• エプレースホルダ利用とDB権限の最小化はSQLインジェクションの実装・実装外対策として適切で正解。