IPA/ISEC、サイトのSQLインジェクション検出ツール「iLogScanner」をバージョンアップ

　独立行政法人情報処理推進機構 セキュリティセンター（IPA/ISEC）は11月11日、ウェブサイトのSQLインジェクション検出ツール「iLogScanner」をバージョンアップした。このツールはブラウザ上で実行するJavaアプレット形式で、ブラウザ経由で利用できる。

　今回のバージョンアップは、ウェブサイトを狙ったSQLインジェクション攻撃が急増し、ウェブサイトの情報の改ざんや、非公開情報が公開されるなど深刻な被害が発生していることから実施した。

　新バージョンでは、SQLインジェクション攻撃として検出可能な攻撃パターンを従来の1.5倍に増やしたほか、脆弱性を狙った攻撃として検出可能なパターンに「OSコマンド・インジェクション」「ディレクトリトラバーサル」「クロスサイト・スクリプティング」「その他（IDS回避を目的とした攻撃）」の4種類を追加した。

　また、検出対象のアクセスログとして、Apache HTTP Server（1.3系、2.0系、2.2系）のCommon Log Format、Microsoft インターネット インフォメーション サービス（IIS）6.0/5.0に加え、IIS 7.0/5.1のW3C拡張ログファイル形式を追加した。

　さらに、動作OSとしてMicrosoft Windows XP/2000に加え、Microsoft Windows Vista、Linux系OS（CentOS 5）を追加。動作ブラウザにはInternet Explorer 7/6に加え、新たにFireFox2を追加した。なお、今後は利用者の脆弱性検出状況も収集する予定としている。