OWASPトップ10とは？

急速に変化するデジタル環境の中で、アプリケーションのセキュリティは必要不可欠です。アプリケーションのセキュリティを強化する最も効果的な方法の1つは、OWASPトップ10で評価することです。しかし、OWASPトップ10とは一体何なのでしょうか？

OWASPトップ10：ウェブセキュリティのためのフレームワーク

オープン・ウェブ・アプリケーション・セキュリティ・プロジェクト（OWASP）は、ウェブ上のソフトウェアをよりセキュアにするために努力している非営利財団である。OWASP の Top10 は、最も重大な 10 のウェブ・アプリケーション・セキュリティ・リスクの概要を示す、広く知られたレポートです。基本的には、あなたのアプリケーションをサイバー脅威の標的にする可能性のある、最も一般的な弱点のチェックリストです。

なぜOWASPトップ10を気にする必要があるのか？

OWASP Top 10 は、リスク管理のすべてです。OWASP Top 10 で強調された脆弱性に対処することは、セキュリティ侵害のリスクを軽減し、より安全なコードを開発し、 より安全なアプリケーションを作成するのに役立ちます。

OWASPのトップ10に従うことは、規制基準を遵守し、セキュリティのベストプラクティスへのコミットメントをユーザーに信頼させるための賢い行動でもあります。アプリケーションが機密データを扱う場合、ユーザーはその安全性を知りたがる。

OWASPのチェックリストは約3〜4年ごとに更新され、最後の更新は2021年だった。脆弱性や脅威の深刻度が上がったり下がったりするため、その都度、いくつかの統合、名前の変更、並べ替えが行われる。現在の危険性を認識することで、どこから手をつけるべきか、早急な対応が必要な重大リスクは何かを知ることができる。

最新のチェックリストを見てみよう。

OWASP ウェブアプリケーション・セキュリティ・リスク トップ10

1.壊れたアクセス制御

認証されたユーザーが何をすることが許されるかについての制限は、しばしば強制されない。ハッカーはこれらの欠陥を悪用し、未承認の機能やデータにアクセスすることができる。他のユーザーアカウントへのアクセス、機密ファイルの閲覧、データの修正・破壊、アクセス権の変更などが可能になるかもしれない。さらには、システム全体の管理者権限を持つことになる可能性さえある。OWASPのトップ10は、ここで一つの重要なルールを強調している。

2.暗号の失敗

多くのウェブアプリケーションは、クレジットカード、認証情報、健康記録、その他の個人データなどの機密データを適切に保護していません。攻撃者は、保護が弱いデータを盗んだり変更したりして、クレジットカード詐欺やなりすまし、その他の犯罪を行う可能性があります。企業にとっては、知的財産やその他の企業秘密を守る必要があります。転送中および静止中のデータの保護ニーズを評価するようにしてください。また、すべてのプロトコルやアルゴリズムに弱点がないか定期的に評価すること。

3.インジェクション

インジェクションの欠陥は、アプリケーションが信頼されていないデータをコマンドやクエリの一部として送信する際に発生します。攻撃者は、インタプリタを騙して、意図しないコマンドを実行させたり、不正なデータにアクセスさせたりすることができ、 データの損失、破損、不正アクセスにつながります。ソースコードレビューは、本番環境へデプロイする前に、アプリケーションセキュリティテストツールを厳密に使用するのと同様に、ここでも役に立ちます。

4.安全でない設計

OWASPは、セキュリティはコーディングが行われる前に始める必要があることを強く推奨します。設計やアーキテクチャの欠陥は、たとえそれが安全に実装されていたとしても、アプリケーションを破滅させる可能性があります。このコーディング前の段階には、より多くの脅威モデリング、安全な設計パターンと原則、参照アーキテ クチャを含める必要があります。また、ビジネスリスクプロファイリングに冷徹に取り組むとともに、ビジネス要件と技術要 件のバランスを取る必要がある。

5.セキュリティの誤設定

誤設定リスクとは、セキュリティ設定、ソフトウェア更新、サーバ設定ファイル、アプリケーションの機能やページにおける エラーなど、アプリケーションデータを安全に保つためのコントロールが不適切に実施されることを指します。最小限のプラットフォームという形で厳重に管理することで、このようなリスクを軽減することができます。不必要な機能、フレームワーク、コンポーネントを含めないこと。OWASPのトップ10によると、一番重要なのは、デフォルトのアカウントとパスワードを無効にすること、エラー処理で多くの情報が漏れないようにすること、そしてすべてのパッチを適用し、アップデートしておくことです。

6.脆弱で老朽化したコンポーネント

ライブラリ、フレームワーク、その他のソフトウェアモジュールなどのコンポーネントは、アプリケーションと同じ権限で実行されます。脆弱なコンポーネントが悪用された場合、攻撃は深刻なデータ損失や、サーバの完全な乗っ取りを意味することさえあります。クライアント側とサーバー側の両方で使用しているバージョンを把握し、脆弱性がないか定期的にスキャンし、セキュリティ勧告を把握しておく必要がある。OWASPによれば、最も重要なことは、毎月や四半期ごとにパッチを当てるだけではいけないということです。

7.識別と認証の失敗

アプリケーションの認証とセッション管理機能が正しく実装されていない場合、攻撃者はパスワード、鍵、セッショントークンを漏洩 させたり、他の実装の欠陥を悪用して他のアイデンティティになりすますことができます。OWASP Top 10 は、脆弱なパスワード、セッション識別子の再利用、脆弱な回復プロセス、自動化された攻撃の許可に警 告しています。可能であれば、多要素認証は、さまざまな簡単で常識的な認証手段とともに、ここで取るべき方法である。

8.ソフトウェアとデータの整合性の失敗

アプリケーションがプラグインやライブラリのような信頼できないソースに依存している場合、ソフトウェアやデータの整合性に障害が発生する可能性がある。また、安全でないCI/CDパイプラインは、不正アクセスやシステム侵害につながる可能性がある。もう1つのリスクは、完全性を検証するのに十分でない自動更新機能や、安全でないデータ構造の整理方法から生じる。これらのリスクを防ぐために、チームはデジタル署名を使用すべきである。これらはソフトウェアやデータの安全性を確認することができる。ライブラリや依存関係には、信頼できるリポジトリのみを使用するようにしてください。また、既知の脆弱性をチェックするために、ソフトウェアのサプライチェーンセキュリティツールを導入すべきである。OWASPは、コードと設定の変更に対するレビュープロセスを維持し、CI/CDパイプラインに適切なアクセス制御を設定することを提案している。最後に、完全性をチェックしたり、デジタル署名を加えたりしない限り、署名されていない、あるいは暗号化されていないシリアライズデータをクライアントに送らないこと。

9.セキュリティログと監視の失敗

不十分なロギングと監視は、インシデントレスポンスとの統合が欠けていたり、非効果的であったりすることと相まって、攻撃者がシステムを攻撃し、永続性を維持し、より多くのシステムにピボットし、データを改ざん、抽出、破壊することを可能にしている。OWASPのトップ10では、ログインやログイン失敗のようなすべてのイベントをログに記録すること、警告やエラーは明確なログメッセージを生成すること、ログは決してローカルにのみ保存しないことを提案しています。ロギングやアラート・イベントをユーザーから見えるようにすることも、リスクの原因となる。

10.サーバーサイドリクエストフォージェリ

サーバーサイドリクエストフォージェリ（SSRF）の問題は、ウェブアプリがユーザーから与えられたURLを確認せずにリモートソースからデータを取得する際に発生する。これにより、攻撃者はアプリを騙して、ネットワーク・セキュリティ対策を突破してでも、不要な場所にリクエストを行うように仕向けることができる。OWASPは、最近のウェブアプリはURLをフェッチする必要があることが多いため、このような問題はより一般的になってきていると考えている。クラウドサービスや複雑なシステムの利用により、リスクはより深刻になっている。ここでも、ネットワークアクセスレベルでのデフォルト拒否アプローチが有効だ。また、アプリケーションレイヤーにも様々な対策がある。

実際の使用例をブログに書きましたので、ご自由にご覧ください。

なぜOWASP Top 10を使うのか？

OWASP Top 10は、単なる問題のリストではなく、解決策へのガイドです。チェックリストの各項目には、脆弱性をどのように防ぐかについてのセクションと、攻撃シナリオの例が含まれており、開発者 にアプリケーションのセキュリティを改善するための実践的なステップを提供しています。アプリケーションのセキュリティ確保は継続的なプロセスであり、常に新しい脅威が出現します。警戒を怠らず、セキュリティを優先することで、アプリケーションを安全に保ち、ユーザーを安全に保つことができます。

企業にとって、OWASP Top 10 は単なるチェックリストではない。これは、セキュリティを開発プロセスの最前線に持ってくるツールであり、組織内のセキュリティ意識の文化を育成するものです。OWASP Top 10 を重視することで、アプリケーションのセキュリティを強化するだけでなく、セキュリティを開発プロセスの中核に据えることができます。

クラウドネイティブ企業であれば、Aikido 利用することで、OWASP Top 10の適用範囲について開発環境を簡単にスキャンすることができます。Aikidoのテストツールとセキュリティレポートは、OWASP Top 10のスコアと、各脆弱性を防ぐために取られた対策の分析を明確に提供します。関係者とレポートを共有し、どのようなセキュリティ対策に重点を置く必要があるかを素早く把握するために使用することができます。

今すぐ Aikidoあなたの環境をスキャンし、OWASPトップ10スコアを取得しましょう。