OWASP とは何ですか? OWASP トップ 10 の脆弱性とリスクの紹介

OWASP Top 10は、最も重大な Web アプリケーション セキュリティ リスクのリストとして広く知られています。 このリストは、開発者、セキュリティ専門家、組織が、重要な Web アプリケーションのセキュリティ リスクを特定して軽減するための取り組みに優先順位を付ける際のガイドとして役立ちます。 

OWASP トップ 10 リストにリスクが存在することは、必ずしもすべての Web アプリケーションにおけるそのリスクの蔓延または重大性を示すものではなく、トップ 10 は特定の順序または優先順位でランク付けされていません。  

2021 年のOWASP トップ 10 Web アプリケーション セキュリティ リスクは次のとおりです。

1. アクセス制御が壊れています。 この脆弱性は、アクセス制御と承認の実施が不十分なために、攻撃者が許可されていない機能やデータにアクセスできる場合に発生します。 これは、安全でない直接オブジェクト参照 (IDOR) が原因である可能性があります。これは、アプリケーションが内部オブジェクトへの直接参照として使用されるユーザー入力の検証または承認に失敗した場合に発生する可能性があります。 また、アプリケーションが最初の認証または承認段階でのみアクセス制御を検証し、アプリケーションの機能または操作全体にわたってそれらの制御を一貫して適用していない場合、機能レベルのアクセス制御が欠落していることが原因で発生することもあります。 Web アプリケーション ファイアウォール (WAF) は、アクセス制御を監視および実施して機密オブジェクトやリソースへの不正アクセスを防止することで、これらの攻撃から保護するのに役立ちます。

2. 暗号化の失敗。 このリスクは、転送中および保存中の機密データの保護が不十分なために発生します。 暗号化の失敗は、データ侵害、機密情報への不正アクセス、EU 一般データ保護規則 (GDPR) などのデータ プライバシー規制や PCI データ セキュリティ標準 (PCI DSS) などの金融基準への非準拠につながる可能性があります。 これらの障害は、安全でない暗号化ストレージ、プレーンテキストでのデータの保存、または安全でないキー管理によって発生する可能性があります。 リスクは、弱いキーや乱数生成、または暗号化プロトコルの欠陥から発生する情報漏洩からも発生する可能性があります。 
3. インジェクション攻撃。 インジェクションの欠陥は、攻撃者が信頼できないデータや悪意のあるデータをコマンド言語やクエリ言語に挿入した場合、またはユーザーが入力したデータがアプリケーションによって検証、フィルタリング、またはサニタイズされていない場合に発生し、悪意のあるコマンドが意図せず実行されます。 このリスク カテゴリには、NoSQL、OS コマンド、LDAP、 SQL インジェクション攻撃が含まれ、さらに、攻撃者が JavaScript などの悪意のあるクライアント側スクリプトを他のユーザーが閲覧する Web ページに挿入するクロスサイト スクリプティング (XSS)も含まれます。 これにより、ログイン資格情報、個人データ、セッション Cookie などの機密情報が盗まれる可能性があります。 WAF は、リフレクション型 (非永続的)、保存型 (永続的)、ドキュメント オブジェクト モジュール (DOM) ベースの XSS などの受信リクエストを検査およびフィルタリングして、悪意のあるコード インジェクションの試みを検出してブロックし、アプリケーションに到達するのを防ぎます。
4. 安全でない設計。 これは、セキュリティ制御の欠如または無効、およびアーキテクチャ上の欠陥として表現される、さまざまな弱点を表す広範なカテゴリです。 これらの欠陥は、アプリケーションが本質的に安全でないプロセスに依存するように設計されている場合、または特定の攻撃から防御するために必要なセキュリティ制御が実装されていない場合に発生する可能性があります。 これらのリスクは、脅威モデリング、安全な設計パターン、リファレンス アーキテクチャの使用を増やすことで軽減できます。  
5. セキュリティの誤った構成。 Web アプリケーション フレームワーク、プラットフォーム、サーバー、またはセキュリティ制御のセキュリティ強化が不十分だと、不正アクセス、機密情報の漏洩、その他のセキュリティの脆弱性が発生する可能性があります。 セキュリティの誤った構成によるリスクは、クラウド サービスに対する権限が不適切に構成されていることや、未使用のポート、サービス、アカウント、権限などの不要な機能のインストールや有効化によっても発生する可能性があります。 主要なクラウド プロバイダーはさまざまなデフォルトのセキュリティ体制を採用しており、アーキテクチャはますます分散化され、マルチクラウド ファブリック全体に分散されているため、Web アプリと API の両方の構成ミスは重大なリスクとなります。    
6. 脆弱で古いコンポーネント。 ライブラリ、フレームワーク、プラグインなどの古い、パッチが適用されていない、または脆弱なコンポーネントを使用すると、アプリケーションが既知のセキュリティ上の欠陥にさらされ、悪用されるリスクが高まります。 これらのリスクは、オペレーティング システム (OS)、Web/アプリケーション サーバー、データベース管理システム (DBMS)、アプリケーション、API、すべてのコンポーネント、ランタイム環境、ライブラリなど、サポートされていないソフトウェアや古いソフトウェアによって発生する可能性があります。 これらの脅威は、組織がシステムの基盤となるプラットフォーム、フレームワーク、依存関係を修正またはアップグレードするためのタイムリーなリスクベースの対策を講じていない場合に特に危険であり、システムは数日または数週間にわたって既知のリスクに不必要にさらされることになります。 複雑なソフトウェア サプライ チェーンと CI/CD パイプラインによる自動化により、脆弱なソフトウェアが IT スタックに導入されるリスクが高まります。 WAF は、脆弱性の悪用を防ぐための重要な一時しのぎとして機能します。  
7. 識別および認証の失敗。 認証、ID、セッション管理の弱点により、攻撃者がユーザー アカウント、パスワード、セッション トークンを侵害したり、安全でないセッション処理を悪用したりする可能性があります。 これらの領域で障害が発生すると、クレデンシャル スタッフィングなどの自動化された攻撃が発生する可能性があります。 多くの人がパスワードを再利用したり、デフォルトのパスワード、弱いパスワード、またはよく知られているパスワードを使用したりするため、パスワード関連の脆弱性がこれらのリスクの最も一般的な原因となります。 セッション管理の問題は、特にログアウト中または非アクティブ期間中にユーザー セッションまたは認証トークンが適切に無効化されない場合、認証関連の攻撃につながる可能性もあります。 OWASP Top 10、API Security Top 10、Automated Threats プロジェクトで詳しく説明されているように、認証制御をバイパスする攻撃は、Web アプリと API の両方にとってリスクが増大しています。  
8. ソフトウェアおよびデータの整合性の障害。 これらの脆弱性は、データとソフトウェアの整合性違反に対する保護に失敗したアプリケーション コードとインフラストラクチャによって発生します。 これは、アプリケーションが信頼できないソース、リポジトリ、CDN からのプラグイン、ライブラリ、またはモジュールに依存している場合に発生する可能性があります。 また、ソフトウェアの更新、機密データの変更、検証されていない CI/CD パイプラインの変更時にも発生する可能性があります。 攻撃者は独自の更新プログラムをアップロードして配布し、すべてのインストールで実行する可能性があります。 アプリケーションが信頼できないシリアル化データを取得し、そのデータが有効であることを確認せずに使用する安全でないデシリアライゼーションもこのリスク カテゴリの一部であり、リモート コード実行 (RCE) や権限昇格などの攻撃を可能にします。 
9. セキュリティ ログ記録と監視の失敗。 ログ記録と監視が不十分だと、セキュリティ インシデントのタイムリーな検出と対応が妨げられ、攻撃や不正なアクティビティを特定して軽減することが困難になります。 これは、ログイン、失敗したログイン、高額トランザクションなどの監査可能なイベントが識別または記録されず、アプリケーションがアクティブな攻撃をリアルタイムで検出しないことを意味する可能性があります。  
10. サーバー側リクエストフォージェリ (SSRF)。 これらの脆弱性は、アプリケーションがリモート リソースからデータを取得する前に、ユーザーが入力した URL を検証またはサニタイズしない場合に発生します。 攻撃者はこれらの欠陥を利用して、ファイアウォールやその他の防御によって保護されている場合でも、アプリケーションを悪意のある Web の宛先に強制的にアクセスさせることができます。 これらの攻撃は、標的のリソースがクラウド メタデータ サービスやバックエンド API などの他のシステムと信頼関係にある場合にも発生する可能性があり、攻撃者はそれらの信頼されたサービスにリクエストを送信して機密情報を抽出したり、不正なアクションを実行したりできるようになります。 SSRF を軽減するには、最小限の権限アクセスを実現するようにシステムを設計し、 WAF を使用してセキュリティ ポリシーで URI (Uniform Resource Identifier) パラメータを明示的に定義し、それらにアクセスできるホストを許可または拒否します。

2021 OWASP Top 10 には、以前の 2017 OWASP Top 10 からのいくつかの新しいカテゴリと名前の変更が反映されています。 これらの変更には、2017 年のリスク脅威 XML 外部エンティティ (XXE) を 2021 年のセキュリティ構成ミス カテゴリに統合し、2017 年のクロスサイト スクリプティング (XSS) を 2021 年のインジェクション カテゴリに追加することが含まれていました。 2017 年のリスク「安全でないデシリアライゼーション」は、現在、2021 年の「ソフトウェアおよびデータ整合性の障害」カテゴリに含まれています。