情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度春期 午前Ⅱ 問17: SQL インジェクション対策について，Web アプリケーションプログラムの実装における対策と，Web アプリケーションプログラムの実装以外の対策の組みとして，適

正解

エ. Web アプリケーションプログラムの実装における対策：プレースホルダを利用する。／実装以外の対策：Web アプリケーションプログラムが利用するデータベースのアカウントがもつデータベースアクセス権限を必要最小限にする。

正答率 0.0%（1人中 0人が正解）

問題の解説

SQLインジェクションの最も確実な対策は、SQL文の構造とデータを分離するプレースホルダ(バインド機構)を使う実装である。加えて、万一悪用された際の被害を抑える実装以外の多層防御として、DB接続アカウントの権限を必要最小限にすることが有効。両者を組み合わせたエが正解。他の選択肢はOSコマンド注入やセッション、ディレクトリトラバーサル対策でありSQLインジェクションの組合せとして不適切。実務では予防と被害局限を併用する。

選択肢ごとの解説

• アシェル非起動とchrootはOSコマンドインジェクション対策でSQLインジェクションの組合せではなく誤り。
• イセッションID乱数化とTLSはセッション保護や盗聴対策でSQLインジェクション対策ではなく誤り。
• ウパス名の扱いと公開領域の管理はディレクトリトラバーサル対策でSQLインジェクションではなく誤り。
• エプレースホルダ利用とDBアカウント権限の最小化はSQLインジェクションの予防と被害局限で正しい。