サイバー攻撃手法・脆弱性分析重要度:★★★出題: AM2・PM1

SSRF (Server-Side Request Forgery)

えすえすあーるえふ / さーばさいどりくえすとふぉーじぇり / Server-Side Request Forgery

Webサーバが外部URLへHTTPリクエストを発行する機能（WebhookやURLプレビュー等）を悪用し、外部から直接到達できない内部ネットワークやクラウドメタデータAPIへ不正アクセスさせる攻撃。

3行速習ポイント

攻撃者が指定したURL（例：http://169.254.169.254/... や http://192.168.1.10/admin）へサーバ自身からリクエストを送信させる
パブリッククラウド（AWS/GCP/Azure）環境では、インスタンスメタデータサービス（IMDS）から一時IAMクレデンシャルを窃取される致命的被害に直結
対策は接続先URLのホワイトリスト制限、名前解決後のIPアドレスがプライベートIP/リンクローカルIPでないことの検証、IMDSv2（トークン必須化）の適用

図SSRF による内部ネットワーク・クラウドメタデータ侵害と3層防御

1攻撃手口：Webサーバを踏み台にした代理リクエスト

脅威メカニズム

169.254.169.254（IMDS）や内部管理サーバ（192.168.x.x）を指定

WebhookやURLプレビュー機能を悪用し、外部から直接アクセスできない内部セグメントやクラウドメタデータAPIへサーバ自身から通信させる

2対策1：接続先URLホワイトリスト＆名前解決後IP検証

アプリ層対策

プライベートIP・ループバック・リンクローカルIPへの接続を遮断

DNS名前解決後の接続先IPアドレスを検証し、内部IPアドレス帯へのリクエスト発行および自動リダイレクト追従をアプリケーション層で拒否

3対策2：IMDSv2 強制化＆アウトバウンドFW制限

インフラ層対策

PUTセッショントークン必須化と不要な内部宛通信の遮断

単純なGETでIAM認証情報を返さないようIMDSv2を有効化し、Webサーバから内部管理NWへの通信をセキュリティグループ等で遮断

💡 URL文字列のチェックだけではDNSリバインディングやリダイレクトで突破されるため、「名前解決後のIPアドレス検証」と「IMDSv2化」が不可欠

OWASP Top 10（2021）にも単独項目として追加された現代クラウド環境の重大脅威です。ファイアウォールで外部からの直接アクセスを遮断していても、公開Webサーバ自身を「踏み台（プロキシ）」として内部管理画面やクラウドメタデータAPIへリクエストを飛ばされてしまいます。

クラウドメタデータAPI（169.254.169.254）の保護：単純なGETリクエストだけで認証情報を返さないIMDSv2（PUTリクエストによるセッショントークン取得が必要）を有効化
DNS Rebinding対策：URLの文字列チェックだけでは、最初はグローバルIPを返し直後に127.0.0.1やプライベートIPを返す攻撃に突破されるため、名前解決後の接続先IPアドレスを検証・遮断
ネットワーク層でのアウトバウンド制限：Webサーバから内部管理セグメントや不要な宛先への通信をFW/セキュリティグループで遮断