IPAがSQLインジェクション脆弱性の検出ツールを提供 / iLogScanner

情報処理推進機構(IPA)がSQLインジェクション脆弱性の検出ツール「iLogScanner」の提要を始めたようです。

対応OSはWIndows XP SP2となっていますが、Javaアップレットを使う形式なのでMacやLinuxでも動く可能性があるかも(未確認)。

iLogScannerは、ツール利用者がウェブブラウザを利用してIPAのウェブサイト（iLogScanner提供サイト）からダウンロードし、利用者のウェブブラウザ上で実行するJavaアプレット形式のプログラムです（図１）。

　利用者が用意したウェブサーバのアクセスログファイルの中から、SQLインジェクション攻撃によく用いられる文字列を検出し（図２）、ウェブサイトへ攻撃のあったと思われる痕跡や、攻撃が成功した可能性のある痕跡の有無を解析結果レポートとして出力します（図３）。

iLogScannerはその名の通りApacheやIISのログからSQLインジェクションっぽい攻撃を探し攻撃が成功した可能性があるか検出するツールなので、脆弱性があってもまだ攻撃を受けていない場合も考えられます。過信は禁物です。
しかしながら、何も対策を講じずに放って置くよりも使った方がいいことは間違いありません。操作手順マニュアル(pdf)を見てもブラウザからログファイルを開くだけなので比較的簡単に解析できると思います。