未経験エンジニア必見！セキュリティの基本を解説

Webアプリケーションやシステム開発においてセキュリティは非常に重要な要素です。特に未経験エンジニアが早い段階で基本的なセキュリティの概念を理解することは、後の学習や実務に大きな影響を与えます。本記事では、セキュリティの基本用語や一般的な脅威、そしてそれに対抗するための基本的な対策を実例を交えながら解説します。

セキュリティの基本概念

まずはセキュリティの基本的な枠組みを知ることから始めましょう。

CIAトライアングル

セキュリティの世界で重要な3つの柱があります。それが以下の”CIAトライアングル”です。

• 機密性（Confidentiality）:
  データが許可された人だけにアクセスされることを保証します。
  • 例: 銀行のオンラインバンキングシステムでは、顧客のアカウント情報はその顧客本人しか見ることができません。
  • 対策: データを暗号化し、不正アクセスを防ぐ。
• 完全性（Integrity）:
  データが不正に改ざんされないことを保証します。
  • 例: オンラインでの商品購入情報がハッカーに改ざんされ、購入内容が高額商品に書き換えられるリスクがあります。
  • 対策: デジタル署名やハッシュ関数を使用してデータの改ざん検知を行う。
• 可用性（Availability）:
  必要なときにデータやシステムにアクセスできることを保証します。
  • 例: サーバーがDDoS攻撃を受けてダウンした場合、サービスが利用できなくなる。
  • 対策: 適切な負荷分散やバックアップを用意する。

認証（Authentication）と認可（Authorization）

• 認証（Authentication）:
  ユーザーが誰であるかを確認するプロセス。
  • 例: Webサイトのログイン画面でのIDとパスワード入力。
• 認可（Authorization）:
  認証されたユーザーが何を許可されているかを管理するプロセス。
  • 例: 管理者は設定変更が可能だが、一般ユーザーは閲覧のみ可能。

暗号化とハッシュ化

• 暗号化（Encryption）:
  データを特定の鍵で復号可能な形に変換します。
  • 例: 電子メールを送る際に内容を暗号化して、盗聴されても内容を読めないようにする。
• ハッシュ化（Hashing）:
  データを一方向で変換し、元の形に戻せない形にします。
  • 例: パスワードをハッシュ化してデータベースに保存する。これにより、漏洩時もパスワードそのものが漏れません。

一般的な脅威の理解

次に、セキュリティを脅かす一般的な攻撃手法とその影響について見てみましょう。

SQLインジェクション

SQLクエリに悪意のあるコードを注入する攻撃。

• 例
  • 攻撃者がログイン画面で admin' OR '1'='1 のような入力を行い、全てのアカウント情報にアクセスする。
• 対策
  • プレースホルダを使用してSQLクエリを安全に構築する。
  • Webフレームワーク（例: Rails, Django）の入力検証機能を利用する。

クロスサイトスクリプティング（XSS）

攻撃者がユーザーのブラウザ上で悪意のあるスクリプトを実行させる攻撃。

• 例
  • 掲示板に <script>alert('あなたのCookieが盗まれました！');</script> と投稿。
• 対策
  • ユーザー入力をサニタイズ（無害化）する。
  • Content Security Policy（CSP）を適用して、信頼されていないスクリプトの実行を防ぐ。

マルウェア

悪意のあるソフトウェアを使用してシステムやデータを侵害する攻撃。

• 例
  • 偽装されたメールの添付ファイルを開くと、パソコンがランサムウェアに感染し、ファイルが暗号化されてしまう。
• 対策
  • アンチウイルスソフトを定期的に更新する。
  • 不審なメールやリンクを開かない。

フィッシング攻撃

ユーザーを偽サイトに誘導し、個人情報を盗む攻撃。

• 例
  • 本物そっくりの銀行サイトに誘導し、ログイン情報を入力させる。
• 対策
  • URLを必ず確認する。
  • 公式サイトから直接ログインする。

基本的なセキュリティ対策

最後に、未経験エンジニアがすぐに実践できる基本的な対策について紹介します。

強力なパスワードの重要性

• 問題
  • 短いまたは予測可能なパスワードは簡単に破られる。
• 対策
  • 8文字以上で大文字、小文字、数字、記号を組み合わせる。
  • パスワードマネージャーを使用して安全に保管する。

ファイアウォールとアンチウイルスの役割

• ファイアウォール
  • ネットワークを監視し、不正な通信をブロックする。
• アンチウイルス
  • システム内のマルウェアを検出・除去する。
• 例
  • Windows DefenderやMacのGatekeeperを有効にしておく。

ソフトウェアの更新（パッチ管理）の重要性

• 問題
  • 古いバージョンのソフトウェアには既知の脆弱性が存在する可能性がある。
• 対策
  • OSやアプリケーションを最新の状態に保つ。
  • 自動更新機能を有効にする。

まとめ

本記事では、セキュリティの基本概念から一般的な脅威、そして基本的な対策について解説しました。これらをしっかりと理解し、日々の学習や開発に活かしてください。

次のステップとしては、実際にコードを書く際にセキュリティを意識すること、そしてOWASP Top 10を参照して具体的なセキュリティリスクと対策を学ぶことをお勧めします。