攻撃者が真正面から狙う「あのファイル」 Web管理者が今すぐ確認すべき設定とは：EGセキュアソリューションズがセキュリティレポートを発表
EGセキュアソリューションズは「SiteGuard セキュリティレポート（2025.1Q）」を発表した。それによると、特定の攻撃手法が突出して増加傾向にあり、特に教育機関で被害が出ていることが分かった。
EGセキュアソリューションズは2025年4月30日、「SiteGuard セキュリティレポート（2025.1Q）」を発表した。これは、イー・ガーディアンのクラウド型WAF（Web Application Firewall）である「SiteGuard Cloud Edition」が2025年第1四半期（2025年1月1日〜3月31日）に検出した攻撃の分析結果をまとめたもの。それによると、同四半期は教育機関を狙った攻撃が目立った。
2025年第1四半期に検出された攻撃で最も多かったのは？
2025年第1四半期に検出された攻撃で最も多かったのは「SQLインジェクション」で37.5％。次いで「リクエストURLチェック」（34.2％）、「OSコマンドインジェクション」（9.3％）、「リクエスト形式チェック」（8.2％）、「クロスサイトスクリプティング」（6.5％）が続いた。総検出数は、2025年1月と比べて同2月は約2.2倍、同3月は約5.4倍へと著しく増加した。接続元の上位は、フィンランド（36.6％）、日本（22.3％）、香港（10.5％）、米国（7.6％）、ドイツ（6.4％）だった。
2025年2月27日と3月1〜2日、8〜9日に特定の教育機関のWebサイトに対する攻撃アクセスが急増した。2月27日と3月1〜2日の攻撃はフィンランドの異なるIPアドレスから、3月8〜9日は日本のIPアドレスからのアクセスだった。攻撃種別は、リクエストURLチェックがほぼ半数だった。
EGセキュアソリューションズの直岡克起氏（セキュリティ研究所ディレクター）によると、リクエストURLチェックは通常Webサイトで公開されることのないOSやミドルウェア、Webアプリケーションフレームワークなどで使用される設定ファイルやデータファイル、バックアップファイルを取得する攻撃だ。
同氏は「これらのファイルは、意図的に公開していなくても、設定ミスやトラバーサルなどの脆弱（ぜいじゃく）性によって取得可能な状態になっている場合がある。公開を意図していないファイルが公開状態になっていると、情報漏えいやシステムへの不正アクセスにつながる場合がある」と注意を促している。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
暗号資産やスポットワークにも参入 メルカリが構築するプロダクトセキュリティの中身
スポットワークや暗号資産など、事業の幅を急速に広げるメルカリ。こうした機動的な事業展開を支えるのは、包括的で強固なプロダクトセキュリティだ。ゲーミフィケーションも取り入れた同社の取り組みにつき、責任者が語った。
攻撃の半数以上が“あの手口” 2024年に「急増して急減したサイバー攻撃」の実態とは
EGセキュアソリューションズは「SiteGuard セキュリティレポート（2024.4Q）」を発表した。攻撃種別で最も多かったのはバッファーオーバーフローだったが、急増と急減という独特の動きを見せている。背景には何があるのか。
RustとDioxusで投稿アプリのSPAを作ってみよう
第7回からは、第6回で作成した投稿アプリのREST APIを利用して、UI作成フレームワークDioxusでアプリのフロントエンド部分をSPAとして開発していきます。第7回では、API呼び出し関数の実装と、その呼び出し結果をページに反映するコードを通じて、Dioxusの基本動作を理解します。