脆弱性診断ツールだけでは見つけられないDBセキュリティの脅威 − TechTargetジャパン（情報元のブックマーク数）
（a threadless kite - 糸の切れた凧(2008-09-03)経由）
SQLインジェクションで悪意のあるコードをいれて、最終的に何をしているか？
結局はカード情報から換金性の高い商品を購入してすぐ転売して儲けてるみたいです。
個人情報やメールアドレスは通常、攻撃者と名簿業者やスパムメール業者などの間で売買されている。またオンラインゲームのアカウントは、普通に取引サイトで売買されている。表向きはゲームをする時間がない人が時間を金で買うために、「アカウント＋レアなアイテムや経験値」という形で売られている。一方、クレジットカード情報の場合は、売買取引ではなく、カード番号、有効期限に加えて当該サイトにログインするためのパスワードを詐取することで、通販サイトで換金しやすい航空券やイベントの入場券などのチケットや商品を購入し、それらを金券ショップや再販売などで現金化しているようだ。
脆弱性診断ツールだけでは見つけられないDBセキュリティの脅威 - TechTargetジャパン セキュリティ
これはSQLインジェクションで表示しちゃった対策かな。メインは。
ロギングは全般に言えるけど、Aの問題にはA´とB´が有効って感じに書くとわかりやすかったかな。確かに全般的に書かれていますけど。（書けといわれたら・・・かけないｗ
1つ付け加えたいのは、攻撃者がDBを狙っているのなら、DB側でも何らかの対策を行っておく必要があるということだ。実際には「データレベルのアクセス制御」「重要操作のロギングと不正アクセス検知」「重要データの暗号化」などである。
脆弱性診断ツールだけでは見つけられないDBセキュリティの脅威 - TechTargetジャパン セキュリティ
他社のサービスも出してる！強気だなぁ、LACさんｗ
セキュリティチェックをしっかりとやるなら、業者による診断サービスがよいだろう（表3）。ただし、DBの設定だけしか診断しないサービスは、先述の理由からあまりお勧めしない。設定だけではなく、周辺を含めた運用形態をチェックしてくれるサービスでなければ、費用対効果が低いのではないだろうか。
脆弱性診断ツールだけでは見つけられないDBセキュリティの脅威 - TechTargetジャパン セキュリティ
