エンジニアの転職を支援するFEnetインフラのテックブログ。ネットワークなどのITインフラ情報を中心に発信中。

  1. FEnetインフラ
  2. FEnetテックマガジン
  3. セキュリティ
  4. CSRFとは?Web管理者とユーザーができる対策や起きうる被害も解説

CSRFとは?Web管理者とユーザーができる対策や起きうる被害も解説

  • セキュリティ
  • プログラミング
公開日時:   更新日時:
CSRFとは?Web管理者とユーザーができる対策や起きうる被害も解説
この記事でわかること
    基本情報技術者試験の試験対策はこちら>>

    CSRF攻撃とは?


    CSRF(クロスサイトリクエストフォージェリ)攻撃とは、Webアプリケーションに存在する脆弱性を利用したサイバー攻撃です。CSRF攻撃を受けることで、本来であれば拒否すべきサイトからのリクエストをWebアプリケーションが受信してしまいます。また、CSRF攻撃では攻撃者本人はアクセスしないまま、攻撃を受けたWebアプリケーション自体が処理を行ってしまいます。この記事ではCSRF攻撃について詳しくご紹介していきますので、ぜひ参考にしてみてください。

    CSRFの攻撃の流れ5つ


    CSRF攻撃はあまり聞きなれない攻撃方法ですが、CSRF攻撃では攻撃対象のWebサイトへアクセスした一般ユーザーが攻撃者と認識されてしまうことがあります。それでは、CSRF攻撃では具体的にどのような流れで攻撃が行われるのでしょうか。どのような経緯で攻撃が行われるのかを知ることで、CSRF攻撃による被害を未然に防ぐこともできるでしょう。ここではCSRF攻撃の流れ5つをご紹介しますので、参考にしてみてください。

    1:ユーザーが攻撃の対象となるサイトにログインする

    CSRF攻撃では、攻撃者が攻撃対象のWebサイトへ一般のユーザーを誘導するところからはじまります。攻撃者によって誘導されたユーザーは、Webサイトへアクセスし、ログインを行います。攻撃用に用意されたWebサイトは、SNSやショッピングサイトなどのユーザーがすでにアカウントを所有しているサイトになっているケースも多いです。そのため、ユーザーは攻撃対象となっていることに気付かずにWebサイトを訪れてしまいます。

    2:攻撃者が罠のリンクを公開する

    CSRF攻撃では多くの場合、攻撃者は悪意のあるリンクを作成することで攻撃を行います。攻撃用のサイトへ訪れた時点ですでに罠にかかっているケースもありますが、Webサイトとは別に罠のリンクが添付されているケースもあります。そういった場合は訪れた時点ではまだ被害が発生していないため、罠のリンクをクリックしてしまう前にWEbサイトを閉じるようにしましょう。

    3:ユーザーがそのリンクをクリックする

    攻撃者が用意した罠のリンクをユーザーがクリックすることで、CSRF攻撃を受ける事になります。Webサイトを訪れた時点では罠にかかっていないケースでも、リンクを踏んでWebページへ移動すると被害に遭います。また、言葉巧みにユーザーにリンクをクリックさせたり、リンクをクリックするように脅迫するような文章でリンクへ誘導するケースもあります。そのため、不用意にリンクをクリックしないようにしましょう。

    4:攻撃対象のサイトに不正なリクエストが送信される

    一般ユーザーが攻撃用ページ内にあるリンクをクリックすることによって、攻撃対象のサイトへあらかじめ用意されていた不正なリクエストが送信されることになります。リクエストが送信されてしまうと、実際にはまだ被害が発生していなくても、これ以降は被害を回避することが難しくなります。

    5:不正なリクエストの実行

    本来であれば拒否すべき他のサーバーからの不正なリクエストであっても、攻撃対象のWebサイトやWebシステムは送信されてきたリクエストを受け付けてしまいます。そのため、不正なリクエストが実行されてしまい、ユーザーにとって意図しない処理が実行されることになります。発生する被害はさまざまですが、掲示板やアンケートフォームに不正な書き込みが行われたり、膨大な不正な書き込みを行うことにより負荷を掛けるDoS攻撃などが行われたりすることになります。

    CSRF攻撃への対策とは


    近年増加しているCSRF攻撃による被害に遭わないためには、Webサイトの管理者も一般ユーザーも対策を講じることが重要です。どちらもが対策を行うことによって、被害を未然に防ぐことも可能でしょう。それでは、CSRF攻撃を防ぐには具体的にどのような対策を行えばよいのでしょうか。ここではCSRF攻撃への対策についてご紹介しますので、ぜひ参考にしてみてください。

    Web管理者側ができる対策

    ここまでご紹介したとおり、CSPF攻撃では本来であれば不審なリクエストを受け付けないはずのWebサイトがリクエストを受診してしまうことにより、掲示板などへの不正な書き込みやDoS攻撃などの被害を受けることになります。ここではまずは、Web管理者側でWebサイトを守るためにできる対策をご紹介します。

    CSRF対策がされているAPIか確認する

    Web管理者側としては、更新APIにCSRF対策が行われているかどうかを確認することが大切です。APIとは外部との窓口として情報共有を行い、コミュニケーションをとるプログラムになります。CSRF攻撃では一般ユーザーのアクセスを利用してAPIにリクエストを送ることで不正なリクエストを受信させてしまう攻撃方法なので、APIにCSRF対策が行われていれば被害を防ぐことが可能です。

    トークンの発行

    Web管理者側としては、事前にトークンを発行しておく方法があります。トークンとは一度限りのパスワードのことです。外部サイトからリクエストを送ったとしても、トークンを読み取ることはできません。そのため、あらかじめトークンを発行しておき、更新APIに認証情報のチェックだけでなく正規のトークンかどうかのチェックを行わせることでCSRF攻撃を防げます。

    プリフライトリクエスト検証

    Web管理者側としては、プリフライトリクエストを発行する方法があります。プリフライトリクエスト検証では、実際にリクエストを送信する前に一度ブラウザへ送信することにより、安全かどうかを確かめることができます。プリフライトリクエスト検証によって正規ルートからのリクエストであることを確かめることで、CSRF攻撃を防ぐことができるでしょう。ただし、これは最終防衛ラインなのでプリフライトリクエスト検証以前の段階で止める対策が重要です。

    「キャプチャ」による確認を実装する

    Web管理者側としては、キャプチャ(画像認証)による確認を導入する方法があります。人間が操作しているのかコンピュータなのかを判別するために、ランダムな英数字が書かれた画像を表示して、フォームに同じ英数字を入力させる方法です。ユーザーが目視で確認しながら作業を行う必要があるため、自動的にフォームに書き込みを行うようなCSRF攻撃を防ぐことができます。

    ユーザー側ができる対策

    ここまでWeb管理者側でできる対策についてご紹介してきましたが、身に覚えがないWebサイトへの嫌がらせの犯人と疑われないためにも、ユーザー自身もCSRF攻撃対策を行うことが重要です。ここではユーザー側ができる対策をご紹介しますので、ぜひ参考にしてみてください。

    Web上や電子メール内の不審なリンクをクリックしない

    ユーザー側としては、Webページやメールにある不審なリンクをクリックしないようにしましょう。CSRF攻撃では、ユーザーが誘導されたWebサイトや送信されてきたメールのリンクを踏むことにより攻撃が行われてしまいます。CSRF攻撃に限らず、インターネット上に潜んでいるさまざまな脅威を防ぐためには、正体不明なリンクは踏まないことが大切です。

    セキュリティソフトを導入する

    ユーザー側としては、セキュリティソフトを導入するようにしましょう。近年では、SNSなどのユーザー側では不正なリンクなのかどうか判断することが難しいケースもあります。しかし不正なサイトを判断することができるセキュリティソフトを導入し、常に最新の状態に保っておくことで、不正なサイトをブロックしてCSRF攻撃を防止することができます。

    こまめなログオフ

    CSRFの被害を未然に防ぐためにはこまめにログオフすることが大切になります。CSRFはログインした状態で違うサイトにアクセスすることで被害を受けてしまう流れになっているため、こまめにログオフすることで攻撃を受けることがなくなります。しかし、頻繁に訪れるサイトであればログイン状態を維持しておくことは大変便利であるため、便利性を優先してしまうことも少なくありません。

    CSRF攻撃のもたらす被害と影響の例5つ


    ここまでCSRF攻撃の流れや対策方法についてご紹介してきましたが、万が一CSRF攻撃の被害に遭った場合、具体的にどのような影響があるのでしょうか。ここでは最後にCSRF攻撃のもたらす被害と影響の例5つをご紹介しますので、どのような被害が発生したのか参考にしてみてください。

    1:不正な投稿をされる

    CSRF攻撃を受けることにより、ユーザーが意図しない不正な投稿が発生するケースがあります。たとえばTwitterなどのSNSにログインした状態でCSRF攻撃が行われた場合、意図していない誹謗中傷や嫌がらせなどのツイートが行われてしまい、逆に誹謗中傷の被害に遭った側から訴えられてしまう可能性もあります。

    2:アカウントを乗っ取られる

    CSRF攻撃を受けることにより、アカウントが乗っ取られるケースがあります。実際にCSRF攻撃によって過去にTwitterアカウントが乗っ取られたケースもあります。アカウントが乗っ取られると、勝手にツイートされたりプライベートなDMを閲覧されたりしてしまいます。

    3:勝手に買い物をされる

    CSRF攻撃を受けることにより、勝手にECサイトで買い物を行われてしまうケースがあります。ECサイトにログインしたままの場合、CSRF攻撃によって閲覧や設定の変更なども自由に行うことができてしまいます。そのため、勝手に登録済みクレジットカードを利用して買い物を行われてしまう可能性があります。

    4:情報が漏洩する

    CSRF攻撃を受けることにより、個人情報やクレジット情報などが漏洩するケースがあります。前述のECサイトにログインしていた場合と同様ですが、登録済みの情報が閲覧できてしまう状態になることで、情報漏洩に繋がる可能性もあります。

    5:誤認逮捕される

    CSRF攻撃を受けることにより、攻撃者であると判断されて誤認逮捕に繋がるケースがあります。実際にインターネット上の掲示板に小学校爆破などの犯罪予告が書きこまれ、CSRF攻撃によってパソコンを遠隔操作された複数人が誤認逮捕される事件がありました。このケースでは、掲示板上に掲載されていたURLをクリックすると犯罪予告が勝手に書き込まれるような仕組みになっていました。そのため、不用意にリンクをクリックすることで、実際には犯罪予告などを書き込んでいないにもかかわらず捕まってしまうリスクがあります。

    CSRFとはどんな攻撃かを知って対策をしておこう


    CSRF攻撃は、Web管理者側でもユーザー側でも対策を行うことで、実際の被害を防ぐことが可能です。ぜひこの記事でご紹介したCSRF攻撃の概要やCSRF攻撃の流れ、CSRF攻撃への対策やCSRF攻撃のもたらす被害と影響などを参考に、不用意に不審なリンクを踏んで攻撃者にされてしまわないように気を付けるようにしましょう。
    ※削除してください

    とはとはとはとはとはとはとはとはとはとはとはとはとはとはとはとはとはとは

    FEnet経験者優遇! 最短10秒!

    FEnetを運営しているネプラス株式会社はサービス開始から10年以上
    『エンジニアの生涯価値の向上』をミッションに掲げ、
    多くのインフラエンジニア・ネットワークエンジニアの就業を支援してきました。
    ネプラス株式会社ロゴ

    ネプラス株式会社はこんな会社です

    秋葉原オフィスにはネプラス株式会社をはじめグループのIT企業が集結!
    数多くのエンジニアが集まります。

    秋葉原オフィスイメージ
    • インフラ業界に特化

      インフラ業界に特化

      ネットワーク・サーバー・データベース等、ITインフラ業界に特化。Cisco Systemsプレミアパートナーをはじめ各種ベンダーのパートナー企業です。

      業界を知り尽くしているからこそ大手の取引先企業、経験豊富なエンジニアに選ばれています。

    • 正社員なのにフリーランスのような働き方

      正社員なのにフリーランスのような働き方

      正社員の方でも希望を聞いたうえでプロジェクトをアサインさせていただいており、フリーランスのような働き方が可能。帰社日もありません。

      プロジェクト終了後もすぐに次の案件をご紹介させていただきますのでご安心ください。

    • 大手直取引の高額案件

      大手直取引の高額案件

      案件のほとんどが大手SIerやエンドユーザーからの直取引のためエンジニアの皆様へに高く還元できています。

      Ciscoをはじめ、Juniper、Azure、Linux、AWS等インフラに特化した常時300件以上の案件があります。

    • スキルアップ支援

      スキルアップ支援

      不要なコストを削減し、その分エンジニアの方へのスキルアップ支援(ネットワーク機器貸出、合格時の受験費用支給など)や給与で還元しています。

      受験費用例)CCNP,CCIE:6-20万円、JNCIS:3-4万円、AWS:1-3万円など

      ※業務に関連する一定の資格のみ。各種条件がありますので詳しくは担当者へにお尋ねください。

    • 現給与を保証します!

      100%現給与保証

      前職の給与保証しており、昨年度は100%の方が給与アップを実現。収入面の不安がある方でも安心して入社していただけます。

      ※適用にはインフラエンジニアの業務経験1年以上、等一定の条件がございます。

    • インセンティブ制度

      インセンティブ制度

      ネットワーク機器の販売・レンタル事業等、売上に貢献いただいた方にはインセンティブをお支払いしています。

      取引先企業とエンジニア側、双方にメリットがあり大変好評をいただいています。

    • 社会保険・福利厚生

      社会保険・福利厚生

      社員の方は、社会保険を完備。健康保険は業界内で最も評価の高い「関東ITソフトウェア健康保険組合」です。

      さらに様々なサービスをお得に利用できるベネフィットステーションにも加入いただきます。

    • 東証プライム上場企業グループ

      東証プライム上場企業グループ

      ネプラスは東証プライム上場「株式会社夢真ビーネックスグループ」のグループ企業です。

      安定した経営基盤とグループ間のスムーズな連携でコロナ禍でも安定した雇用を実現させています。

    ネプラス株式会社に興味を持った方へ

    ネプラス株式会社では、インフラエンジニアを募集しています。

    年収をアップしたい!スキルアップしたい!大手の上流案件にチャレンジしたい!
    まずは話だけでも聞いてみたい場合もOK。お気軽にご登録ください。

    ネプラス株式会社へのご応募はこちら↓
    ネプラス株式会社へのご応募はこちら↓

    新着案件New Job

    人気記事Popular Posts