[非エンジニア向け] データベース攻撃の一種？NoSQLインジェクションって何？ 🤔

「NoSQLインジェクション」を理解するために、まず「NoSQLデータベース」について少しだけ触れておきましょう。
データベースにはいくつか種類がありますが、昔からよく使われているのが「SQLデータベース」という、Excelの表のように行と列でデータをきっちり管理するタイプです。

一方、「NoSQLデータベース」は、もっと自由な形式でデータを扱えるのが特徴です。「Not Only SQL（SQLだけじゃない）」という意味合いがあります。
例えば、以下のような場所でよく使われています。

• SNSの投稿や友達リスト
• オンラインゲームのプレイヤーデータ
• ECサイトの商品カタログやレビュー
• 大量のアクセス状況（ログ）の記録

SQLデータベースとNoSQLデータベースは、それぞれ得意なことが違うため、サービスの内容に合わせて使い分けられています。NoSQLは柔軟性が高い反面、その特性を悪用した攻撃が「NoSQLインジェクション」なのです。

「インジェクション」とは「注入」という意味です。
NoSQLインジェクションは、攻撃者がWebサイトの入力フォーム（検索窓、ログイン画面、アンケートなど）に、データベースへの不正な命令文を「注入」することで、データベースを勝手に操作しようとする攻撃です。

イメージとしては、図書館の検索システムに、本のタイトルではなく「全部の本のリストを見せろ！」とか「この本の情報を書き換えろ！」といった、本来許可されていない特別な命令文をこっそり入力するようなものです。

SQLインジェクションとの違いは？
よく似た攻撃に「SQLインジェクション」がありますが、これは先ほど説明した「SQLデータベース」を狙う攻撃です。NoSQLインジェクションは「NoSQLデータベース」を狙う、という違いがあります。使う道具（データベース）が違うので、攻撃の方法も少し異なります。

NoSQLデータベースは種類が豊富
NoSQLデータベースには様々な種類（ドキュメント型、キーバリュー型など）があり、それぞれデータの扱い方や命令の仕方が異なります。そのため、NoSQLインジェクションの具体的な手口も、狙われるデータベースの種類によって変わってきます。

もしWebサービスがNoSQLインジェクション攻撃を受けてしまうと、次のような深刻な被害が発生する可能性があります。

このように、NoSQLインジェクションは、サービス利用者にとっても、サービス提供者にとっても非常に大きな脅威となります。

NoSQLインジェクションを防ぐためには、主にWebサービスを作る側（開発者）が適切な対策を行う必要があります。専門的な内容も含まれますが、いくつか基本的な考え方を紹介します。

• 入力値のチェック (サニタイズ / バリデーション):
  ユーザーが入力したデータに、データベースにとって危険な文字や命令文が含まれていないか厳しくチェックし、もし含まれていたら無害化したり、受け付けないようにします。「怪しい荷物は中に入れない」というイメージです INSPECTION 🛂。
• 安全な命令の組み立て方を使う:
  データベースへの命令文を作る際に、ユーザーからの入力値を直接埋め込むのではなく、安全な方法（プレースホルダやパラメータ化クエリなどと呼ばれる手法）を使います。
• 権限を最小限にする:
  データベースにアクセスするプログラムには、必要最低限の権限だけを与えます。もし攻撃されても、被害を最小限に食い止めることができます。
• ライブラリやフレームワークを最新に保つ:
  Webサービス開発で使われる便利な部品（ライブラリやフレームワーク）には、既知の脆弱性に対する修正が含まれていることがあります。常に最新版を使うように心がけます。

私たちユーザー側で直接NoSQLインジェクションを防ぐのは難しいですが、怪しいWebサイトやメールのリンクを開かない、パスワードを使い回さないなど、日頃から基本的なセキュリティ対策を心がけることも大切です ✨。

はい、NoSQLインジェクションによる具体的な被害は、過去に世界中の様々なWebサービスや企業で報告されています。特定の有名な大規模事例が広く知られているわけではありませんが、Webアプリケーションのセキュリティリスクをランク付けしている「OWASP Top 10」にもインジェクション攻撃は常に含まれており、注意が必要な脅威として認識されています。

特に、設定ミスや古いバージョンのNoSQLデータベースを利用している場合に、攻撃を受けやすくなる傾向があります。発生時期は様々ですが、NoSQLデータベースが普及し始めた2010年代以降、継続的に注意喚起されています。