質問: Webアプリケーションのセキュリティについてご教示ください。 極端な話、IPSやWAFを導入すれば、アプリケーション側のプログラムはセキュリティを気にせず作っても大丈夫なのでしょうか?
回答: > > 極端な話、IPSやWAFを導入すれば、アプリケーション側のプログラムはセキュリティを気にせず作っても大丈夫なのでしょうか? > > > **全くそんなことはありません**。とりわけ、権限まわりのバグ(アクセスできるはずのない他人のデータにアクセスできてしまったなど)については、誰がログインしているかを除いてアクセスパターンは同じなので、アプリケーション外での対策はほぼ無力です。 また、SQLインジェクションやXSSなどについても、典型的なパターンはIPSやWAFで防いでくれるかもしれませんが、複雑に凝った攻撃を仕組めばそれらを回避できることもありうるわけなので、元から断たないと安全性は確保できません。 あと、「URLパラメータやhidden引数に秘密の情報を入れてしまって、ユーザーが書き換え可能になる」とか「フリー入力欄としてHTMLを通したけれど、メチャクチャなスタイルを当てることで画面表示を混乱させることができた」など、機能として組み込むところに隙があれば、それを利用した攻撃を組み立てることができますので、やはりアプリケーション設計段階で「何も考えない」というのは危険です。