ハッカーがWebアプリケーションをターゲットにしている理由（そしてそれを阻止する方法）

ハッカーはWebアプリケーションをターゲットにしています。これを阻止するためにはどうすればよいでしょうか。まず優先順位を設定しましょう。

私たちの多くが（時には苦い経験を通じて）学んだように、優先順位を設定することは成功の基本です。

ですから、当然ながら、デジタル資産のセキュリティ保護についても優先順位の設定が基本になります。そのためには、自分が持っているもの（したがって、保護する必要があるもの）のカタログを作成する必要があります。システムに侵入しようとしているハッカーに対してどの「アタックサーフェス」が目立っているかを把握する必要があります。そして、攻撃者を締め出すために適切なツールを使用する必要があります。

幸い、こうしたことはすべて可能ですが、ちょっとした時間、労力、そして投資が必要です。

Webアプリケーションは最も一般的なアタックサーフェス

ハッカーのお気に入りのアタックサーフェスになっても不思議はありません。データ侵害に関する複数のレポートで明らかになっているように、Webアプリケーションが最優先事項です。

Forresterの2019年版「The State of Application Security」は、作成者Amy DeMartineの次の言明で始まります。「アプリケーションの弱点とソフトウェアの脆弱性は、サイバー犯罪者が外部からの攻撃を行う最も一般的な手段であり続けています。」

最新のVerizonデータ漏洩/侵害調査報告書（DBIR）によると、Webアプリケーションはレポート対象となる9業種のうち8業種において攻撃ベクトルのトップ3に入り、4業種で1位になっています。

また、SAP によると、サイバー攻撃の84%がアプリケーション層で発生し、ハッカーにとって最大のアタックサーフェスとなっています。

安全でないWebアプリケーションがハッカーに対する扉を開く

Webアプリケーションがターゲットになっても何の不思議もありません。Webアプリケーションの脆弱性を悪用できれば、攻撃者には無制限にアクセスできる可能性が生じます。「脆弱性や弱点を利用してアプリケーションを悪用する悪意のある攻撃者は、どのようなデータセキュリティやネットワーク保護を実施しても、そのアプリケーションがアクセスできるデータならアクセスが可能です」とDeMartine氏はレポートの中で指摘しています。

もちろん、オンラインでの存在感があるすべての企業がWebアプリケーションを有しています。こうしたアプリケーションはソフトウェアで構築されています。そして、ソフトウェアが完璧であることは稀だということをハッカーは知っています。また、バグやその他の脆弱性に対してパッチが発行されても、すべての組織がそれをインストールするわけではないこともわかっています。

おそらく、過去数年の最も悪名高い例として知られる2017年の大手消費者信用情報会社Equifaxに対する侵害では、約1億4,700万人の個人情報と財務情報が侵害されましたが、これは、広く利用されているオープンソースWebフレームワークであるApache Strutsの脆弱性に対する2か月前のパッチを同社がインストールしていなかったために可能になりました。

しかし、このような事件が起こってもまだ、企業に対する十分な注意喚起にはなりませんでした。2018年のSynopsysオープンソース・セキュリティ＆リスク分析（OSSRA）レポートでは、9か月後になっても、監査対象となったApache Strutsを含むコードベースの3分の1に、Equifaxに影響を及ぼしたものと同じ問題に対して依然として脆弱性が存在していることがわかりました。