情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
保存後に使う入力
条件を整理し、答えを選んでから解き方を確認しましょう。
受付時は入力をパラメータ化して保存するが、夜間処理は保存値をSQL文字列へ連結して再利用する。追加で必要な対策はどれか。
答え・解き方を読む
夜間処理も値とSQL構文を分離する
考える順序
- 1安全性は入力を使う各処理の文脈で判断
- 2保存した値が無条件に安全なSQL構文にはならない
- 3二次利用先でもバインド等を適用する
選択肢ごとの理由
- 正解 · 夜間処理も値とSQL構文を分離する
安全性は入力を使う各処理の文脈で判断。保存した値が無条件に安全なSQL構文にはならない。二次利用先でもバインド等を適用する。
- 比較 · 保存済みの値なので受付時だけで十分
保存済みという属性で構文混入の危険はなくなりません。
- 比較 · 夜間処理の画面だけを非表示にする
画面の有無はSQL組立ての安全性を変えません。
- 比較 · DBのバックアップ頻度だけ増やす
復旧策だけでは不正なSQL実行を防ぎません。