サーバーサイドリクエストフォージェリとは

サーバーサイド・リクエスト・フォージェリを理解するために、企業ネットワークがファイアウォールで保護されているシナリオを考えてみましょう。このネットワーク内には、コンピューター、パーソナルデバイス、サーバーなど、さまざまなデバイスが存在する場合があります。しかし、Webサーバーは企業ネットワークとインターネットの両方に接続され、両者の間のブリッジとして機能します。

攻撃者は、Webサーバーまたはクラウドサーバーをピボットポイントとして利用して、ファイアウォールをバイパスし、社内ネットワークリソースにアクセスすることで、SSRFを悪用できます。この不正アクセスには、ファイルの読み取り、ポートスキャン、リモートコードの実行などのアクティビティが含まれる可能性があります。

たとえば、ファイルサーバーからアバターを取得するように設計されたAPIリクエストを攻撃者が操作して、別のディレクトリに保存されている機密性の高いビジネスドキュメントや財務ドキュメントにアクセスする可能性があります。同様に、クラウド環境では、攻撃者はサーバーサイド・リクエスト・フォージェリを悪用することで、EC2認証情報などのクラウドリソースにアクセスする可能性があります。

ユーザー入力とパラメーターは、SSRF攻撃を可能にする上で重要な役割を果たします。多くの場合、SSRFの脆弱性は、APIが未検証のユーザー入力を受け入れたり、HTTPリクエストのパラメーターを不適切に処理したりすると発生します。攻撃者はこれらのパラメーターを操作して、内部リソースや企業ネットワークのその他の機密性の高い部分など、意図しない宛先にリクエストを送信できます。ユーザー入力を適切に検証し、パラメーターをサニタイズ（無害化）することで、SSRFのリスクを大幅に軽減し、攻撃者がこの弱点を悪用して内部リソースにアクセスするのを防ぐことができます。

APIはデフォルトで安全と見なされることがよくありますが、基本的にはWebアプリケーションであることを覚えておくことが重要です。そのため、Webアプリケーションに影響を与える脆弱性はAPIにも影響を与える可能性があります。APIを介して外部リソースを取得する行為は重大なリスクをもたらすため、SSRFはAPIセキュリティの専門家にとって重要な懸念事項となっています。

SSRFを緩和する最も効果的な方法の1つは、APIとバックエンドサービス間の通信のセキュリティを確保することです。これには、厳格なアクセス制御対策を実装すること、内部リソースが不正なリクエストにさらされないようにすること、攻撃者が内部IPアドレスを解決できないようにDNS設定を慎重に構成することが含まれます。さらに、暗号化されたチャネルを使用し、APIエンドポイントが信頼できるバックエンドサービスのみと通信するようにすることで、SSRF攻撃のリスクを大幅に軽減できます。セキュリティプロトコルを定期的に更新し、OWASP API Security Top 10のベストプラクティスに沿った適切なAPI設計を確保することも不可欠です。

SSRFのリスクを緩和するために、いくつかの対策を実施できます。

• 許可リスト：許可リストを実装して、APIを介して取得できるリソースを制限します。特定のリソースを指定することで、組織は許可された安全なリソースのみがアクセスされるようにすることができます。
• Webサーバーの隔離：Webサーバーを直接社内ネットワークに配置しないでください。代わりに、SSRF攻撃の可能性を最小限に抑えるために、別のネットワークセグメントまたはクラウドに展開することを検討してください。
• リソースの必要性の評価：APIの機能に外部リソースの取得が本当に必要かどうかを評価します。外部リソースへの依存を最小限に抑えることで、アタックサーフェスを縮小し、サーバーサイド・リクエスト・フォージェリのリスクを緩和できます。
• ファイアウォール保護：不正アクセスや潜在的なSSRF攻撃に対する追加の防御レイヤーを提供するために、常に企業ネットワーク上のファイアウォールを使用します。
• API設計の推奨事項に従う：SSRF攻撃に対する回復力に優れたAPIを開発するためのベストプラクティスを提供するAPI設計の推奨事項について、常に最新の情報を把握します。