まずは利用しているソフトウェアの脆弱（ぜいじゃく）性情報を監視し、計画的に修正パッチを適用することだ。

　MOVEitに限らず、ファイル転送ソフトを使う際、社内に限った利用であれば、LAN内にソフトを設置すればよい。クラウド環境であればIPアドレス制限を用いて、不正なアクセスを閉め出すことが可能だ。IPアドレス制限が難しい利用環境であればWAF（Web Applicaiton Firewall）で対策できることもある。

　だが、もっと良い対策がある。MOVEitのようなソフトウェアに脆弱性がないかどうかを確認し、出荷前にソフトウェア開発企業側で対策することだ。全ての脆弱性を取り除くことは難しいかもしれないが、取り除く方法が明らかになっている脆弱性もある。

　サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）と連邦捜査局（FBI）は2024年3月25日に発表した警告の中で（注1）、SQLインジェクションの脆弱（ぜいじゃく）性を排除する対策を講じるよう開発企業に促した。

「MOVEit」への攻撃ではSQLインジェクションが使われた

　CISAとFBIは開発企業の経営層に対し、SQLインジェクションの危険性があるかどうかを調べるため、コードの正式なレビューを開始するよう求めた。脆弱性が発見された場合、CISAとFBIは各社に対し、既存のソフトウェアはもちろん、将来開発するソフトウェアからもSQLインジェクションの欠陥を排除する早急な措置を講じるよう要請する。

　なぜ両機関はSQLインジェクション対策に注力するのだろうか。それはMOVEitの脆弱性を利用した大規模攻撃において（注2）、SQLインジェクションが大きな欠陥が果たした役割を挙げた。

　CISAとFBIによると、ソフトウェア業界ではSQLインジェクションの欠陥に関するリスクが何十年も前から知られていたにもかかわらず、メーカーはソフトウェアからこれらの欠陥を取り除くための十分な措置を講じてこなかった。

　SQLは「Structured Query Language」の略称で、データベース管理システム内のデータを管理するために使用されるプログラミング言語だ。データベースの操作には欠かせないと言ってよいほど多用されている。

　今回の警告によると（注3）、開発者はソフトウェアの設計段階と開発段階で必ず脆弱性を取り除くように作業することで、悪用されるリスクを排除できる。作業内容はパラメーター化されたクエリによる「準備済みステートメント」を採用することだ。こうすることで開発者はSQLコードとユーザーに提供されるデータを分離することができ、この種の脆弱性を防ぐことができる。

　Rapid7のスペンサー・マッキンタイア氏（セキュリティリサーチマネジャー兼Metasploit開発の責任者）は次のように述べた。

　「準備済みステートメントへの移行は合理的な要求のように思われる。だが、セキュリティリーダーにとっての『合理的』が全てのソフトウェアプロデューサーにとっても合理的だとは限らない。それでもCISAが提案するパターンをサポートするためのライブラリへのアクセスは容易だと考えている」

　CISA関係者はバイデン政権の国家サイバーセキュリティ戦略の一環として、ソフトウェアやハードウェアのメーカーに対して、設計の段階で製品の安全性を確保し、デフォルトで安全なものにするよう働きかけている（注4）。これは製品が出荷され、コンピュータネットワークにインストールされた後、顧客が隠れた欠陥を探したり、設定を変更したりする必要がないことを意味する。

SELECT * FROM users WHERE username = 'admin'--' AND password = 'entered_password';