仮想マシンを活用したSQL・NoSQLインジェクション対策演習支援システム

点击翻译按钮获取中文摘要

本研究課題では、Webアプリケーションに対するSQLおよびNoSQLインジェクション対策の学習を支援する、仮想マシンを活用した実践的な演習システムの開発研究を目的としている。本システムによって、学習者は安全かつ手軽にセキュリティ対策の実践的な演習が実施できる。さらに本システムを用いることで、学習者は一人で対策演習と攻撃演習を実施することが可能となるため、身近に他の学習者がいない環境、たとえば対面による実習・演習が困難な場合や学習者が自宅で自己学習として演習を行う場合でも、対策側と攻撃側の双方の演習が可能となる。R３年度までの成果によって、個々のWebページを対象とするSQLインジェクション対策演習機能とNoSQLインジェクション対策演習機能の一部の実装が完了した。開発実装した機能によって、標準的なPC上で、個々のWebページに対するSQLインジェクションとNoSQLインジェクションに対する対策手法の演習の実施が可能となることを確認した．R４年度では，より実践的なセキュリティ学習の実施を可能とするためにSQLインジェクション攻撃演習機能を実装した．これにより攻防戦型の実践的な演習が可能となるため，学習者が対策演習に加えて攻撃側の手法を学ぶことができる．さらに，攻撃演習のシナリオを複数用意して，システム上に実装した．演習の種類を追加することで，防御側の学習者は考慮しなければならない攻撃種類が増え，実践的なセキュリティ学習が可能となる．実装は完了したため．本システムの有用性を評価するための実験を予定している