Webアプリケーションセキュリティのベストプラクティス10選

F5 Newsroom Staff

デジタルサービスを利用し、機密情報を取り扱い、Webまたはモバイルプラットフォームを通じてユーザーとやり取りする現代の組織にとって、堅牢なWebアプリケーションセキュリティは極めて重要です。Webアプリケーションでは、金融情報、個人の医療記録、ログイン認証情報など、価値の高い個人データを日常的に扱うため、ハッカーの主要な標的となります。Web上でサービスを提供したり事業を展開したりする組織には、顧客からの信頼を守り、規制へのコンプライアンスを維持し、データ侵害を防止するとともに、進化し続けるサイバー脅威に直面しても事業を継続できるよう、強固なWebアプリケーションセキュリティが不可欠です。

WebアプリとAPIは急増しています。現在、一般的な組織では226個のアプリと404個のAPIを管理しており、導入オプションの多様化と相まって、潜在的な攻撃対象領域と防御側が直面する複雑さが大幅に増し、攻撃者が脆弱性を悪用する機会も増えています。（F5の調査によると、組織の94%が複数の場所または導入モデルにわたってアプリを管理しています）。

この課題は広範に及ぶため、Webアプリのセキュリティ戦略はリスクに基づき、最も深刻で発生する可能性の高い脅威に重点を置くことが重要です。そのためには、アプリや業界を標的とする可能性のある攻撃の種類を特定し、各脅威が実行された場合の被害の大きさと、攻撃が発生する可能性を評価する必要があります。この情報を活用し、潜在的な影響が最も大きい高リスクの問題からセキュリティリソースを優先的に配分することで、限られた時間と予算の中で保護を最大限に強化できます。

Webアプリセキュリティに関するベストプラクティスの上位10項目は次のとおりです。

1. Webアプリケーションにおける主なセキュリティリスクを把握する

非営利団体である「Open Worldwide Application Security Project (OWASP)」は、最も重大なWebアプリケーションセキュリティリスク10項目のリストを策定しています。OWASP Top 10リストは、開発者、セキュリティ担当者、組織がWebアプリケーションのセキュリティリスクの特定と軽減に向けた取り組みに優先順位を付ける際の指針となります。

The OWASP Top 10に挙げられているWebアプリケーションのセキュリティリスクは次のとおりです。

1. アクセス制御の不備。アクセス制御と認可が十分に適用されていない場合に生じる脆弱性で、攻撃者が許可されていない機能やデータにアクセスできるようになります。
2. 暗号化の失敗。このリスクは、転送中および保存中の機密データが十分に保護されていない場合に発生します。暗号化の失敗は、データ侵害、機密情報への不正アクセス、データプライバシー規制への違反につながる可能性があります。
3. インジェクション攻撃。インジェクションの脆弱性は、攻撃者が信頼できないデータや悪意のあるデータをコマンド言語またはクエリ言語に挿入した場合や、ユーザーが入力したデータをアプリケーションが検証、フィルタリング、サニタイズしなかった場合に発生し、悪意のあるコマンドが意図せず実行される可能性があります。
4. 安全でない設計。これは、アプリケーションが本質的に安全でないプロセスに依存するよう設計されている場合や、特定の攻撃を防御するために必要なセキュリティ制御が実装されていない場合に生じ得る、セキュリティ制御の欠如または不備、およびアーキテクチャ上の欠陥を指します。
5. セキュリティの設定ミス。 Webアプリケーションフレームワーク、プラットフォーム、サーバー、またはセキュリティ制御のセキュリティ強化が不十分な場合、不正アクセス、機密情報の漏えい、その他のセキュリティ脆弱性につながる可能性があります。
6. 脆弱で古くなったコンポーネント。 ライブラリ、フレームワーク、プラグインなど、古い、パッチ未適用、または脆弱なコンポーネントを使用すると、アプリケーションが既知のセキュリティ上の欠陥にさらされ、悪用されるリスクが高まる可能性があります。
7. 識別と認証の不備。認証、ID、セッション管理の脆弱性により、攻撃者がユーザーアカウント、パスワード、セッショントークンを侵害したり、安全でないセッション処理を悪用したりする可能性があります。こうしたリスクの最も一般的な原因は、パスワード関連の脆弱性です。
8. ソフトウェアとデータの整合性の不具合。これらの脆弱性は、データやソフトウェアの整合性侵害を防止できないアプリケーションコードやインフラストラクチャに起因します。また、信頼できない提供元、リポジトリ、CDNのプラグイン、ソフトウェアアップデート、ライブラリ、モジュールをアプリケーションが利用している場合にも発生する可能性があります。
9. セキュリティのログ記録と監視の不備。ログ記録と監視が不十分な場合、セキュリティインシデントの迅速な検知と対応が妨げられ、攻撃や不正な活動の特定と緩和が困難になる可能性があります。
10. サーバーサイドリクエストフォージェリ（SSRF）。 この脆弱性は、アプリケーションがリモートリソースからデータを取得する前に、ユーザーが入力したURLを検証またはサニタイズしない場合に発生します。その結果、ファイアウォールなどの防御策で保護されているWeb上のアクセス先にも、攻撃者が悪意を持ってアクセスできるようになります。

2. セキュアコーディングから始める

セキュアコーディングとは、セキュリティのベストプラクティスに準拠してコードを設計・記述し、悪意のある攻撃者やマルウェアによる攻撃やエクスプロイトへの耐性を高める手法です。コードのセキュリティを効率的かつ効果的に向上させるには、後から追加するのではなく、開発プロセスに組み込み、当初からアプリケーションにセキュリティを組み込むことが重要です。これにより、攻撃者が本番環境で悪用する前に、セキュリティの設定ミスやその他のエラーをプロセスの早い段階で検出できます。また、セキュアコーディングにより、プロアクティブな防御を実現し、ゼロデイ脅威から保護するために必要な、より堅牢な脅威モデリングと自動化が可能になります。OWASPセキュアコーディング・プラクティス・チェックリストは、コードがコーディングのベストプラクティスに準拠していることを確認するためのクイックリファレンスガイドです。

3. APIセキュリティを軽視しない

APIは、さまざまなソフトウェアコンポーネント、サービス、システム間の効率的な通信とデータ交換を可能にし、最新のアプリケーションアーキテクチャにおいて重要な役割を果たします。また、マイクロサービス、クラウドネイティブ開発、プラットフォーム間の統合、AIを活用した環境の基盤でもあります。2025 F5 State of Application Strategy Reportによると、組織の68%がアプリケーションデリバリとセキュリティの管理にAPIを使用している一方、58%がAPIスプロールを重大な課題として挙げています。

しかし、現代のデジタルエコシステムに広く普及していることから、APIは攻撃者の標的となるケースが増えています。APIはその性質上、重要なビジネスロジックや、ユーザーデータ、認証情報などの機密情報を外部に公開します。また、オンラインでのアクセスや購入、銀行・金融取引、ログインサービスなどのデジタル体験を実現し、支えています。

The OWASP Top 10 API Security Risksは、APIが直面する潜在的なリスクを明確にし、その軽減方法を示すため、2019年に初めて公開されました。OWASPのAPIセキュリティに関する知見を踏まえ、APIを包括的に保護するための4つの主要なセキュリティ戦略をご紹介します。

• 検出 既知、未知、非推奨、シャドーAPIを含め、環境全体のすべてのAPIを特定、マッピング、文書化し、APIの脅威対象領域を包括的に把握します
• 監視APIの使用状況と動作を継続的に可視化します。監視により、潜在的な攻撃、不正使用、侵害の兆候となり得る異常の検出を支援します。
• 検出：自動テストとランタイム分析を使用し、プリプロダクション段階の早期と本番環境への移行後に脆弱性を特定します。監視も保護もされていないAPIは、組織を深刻なリスクにさらす可能性があります。
• 保護：Webアプリケーションファイアウォール（WAF）、レート制限、機密データのマスキング、API固有の保護ルールなど、リアルタイムのインラインセキュリティ制御を実装します。これにより、ポリシーを適用し、自動化された脅威を含む悪意のあるアクティビティや望ましくないアクティビティを緩和するとともに、APIを介した機密データの漏えいを防止します。

4. 堅牢な監視とログ記録を実践する

効果的な監視とログ記録は、Webアプリの強固なセキュリティを維持するうえで不可欠です。これらのベストプラクティスにより、脆弱性や脅威を迅速に検出し、攻撃者の行動を追跡できるほか、コードの更新や追加のセキュリティ制御の適用を通じて、対応と修復を迅速化できます。

安全なロギングのベストプラクティスには、機密データの保護が含まれます。機密データは必ずマスキングするか、ログから完全に除外してください。パスワード、クレジットカード番号、個人を特定できる情報（PII）などの機密情報は、決してログに記録しないでください。また、エラーメッセージで過剰な情報を開示しないようにします。攻撃者が脆弱性の悪用に利用できる情報が露出しないよう、一般公開されるエラーメッセージの詳細は必要最小限に抑えてください。

5. インシデント対応を事前に計画する

セキュリティインシデントの発生時に組織が迅速かつ効果的に対応できるよう、包括的なインシデント対応計画を策定します。十分に準備された計画には、インシデント対応チームの各メンバーの役割と責任を明確に定めるとともに、インシデントの範囲、重大度、潜在的な影響を評価するためのセキュリティリスク分類フレームワークを含める必要があります。また、さまざまな種類の脅威に応じた複数の緩和策と、インシデントへの対応中に被害の拡大を防ぐための封じ込め手順も必ず盛り込んでください。さらに、社内コミュニケーション、報告、インシデント発生後の対応に関するガイドラインを定め、得られた教訓や再発防止に向けた更新も含めます。

組織内のインシデント対応計画と戦略を策定するだけでなく、利用しているセキュリティプロバイダーもインシデント対応サービスを提供している可能性があることを認識しておく必要があります。F5セキュリティインシデント対応チーム（F5 SIRT）は、すべてのサポート契約に緊急インシデント対応を提供しています。経験豊富なセキュリティエンジニアが脅威に24時間365日対応し、即時および長期の保護計画に基づく包括的な緩和策を提供します。

6. 最小権限を実装する

最小権限の原則では、ユーザー、システム、アプリケーション、プロセスに付与するアクセス権限を、特定の業務やタスクの遂行に必要な最小限の範囲にとどめ、それ以上は付与しないことが求められます。アクセスを制限すると、悪用される可能性のあるアクセスポイントが減るため、攻撃対象領域を縮小できるほか、ユーザーによる意図しないデータの漏えいや不適切な取り扱いのリスクも最小限に抑えられます。APIなどのプロセスやシステムに最小権限の原則を適用すると、APIとやり取りする各API、サービス、ユーザーには、その本来の機能を実行するために必要な最小限のアクセス権限のみが付与されるため、悪意のある攻撃によってシステムに生じ得る損害を限定できます。また、最小アクセス権限は、個人データや機密データに対する厳格なアクセス制御ポリシーを求めることが多い、一般データ保護規則（GDPR）、Payment Card Industry Data Security Standard（PCI-DSS）、Health Insurance Portability and Accountability Act（HIPAA）などの規制フレームワークへの準拠にも役立ちます。

7. ソフトウェアを最新の状態に保つ

古いソフトウェアはハッカーに狙われやすく、既知の脆弱性は公開情報として文書化されていることが多いため、容易に悪用されます。ソフトウェアアップデートに含まれるセキュリティパッチは、重大な欠陥に対処し、新たな脅威からシステムを保護します。次に挙げるWebアプリケーションのすべてのコンポーネントについて、アップデートやパッチがないか定期的に確認してください。対象には、Webサーバー、オペレーティングシステム、データベース、サードパーティ製のライブラリやフレームワークが含まれます。攻撃対象領域を縮小するため、使用していないソフトウェアは削除し、セキュリティアップデートの提供が終了した古いアプリケーションやサポート対象外のアプリケーションは置き換えてください。

8. Webアプリケーションセキュリティのチェックリストに従う

強固なセキュリティ態勢を維持するには、Webアプリケーションセキュリティチェックリストを作成し、それに従うことが不可欠です。組織は、固有の環境に合わせて独自のチェックリストを作成するか、包括的なベストプラクティスとテスト手順を提供する「OWASP Web Security Testing Guide」などの確立されたリソースを採用できます。

セキュリティテストの主な目的には、セキュアコーディングの実践状況の検証、セキュリティ設定の不備の特定と修正、認証、認可、ID管理の各メカニズムが適切に実装されていることの確認が含まれます。さらに、入力検証ルールのテスト、強力な暗号化が使用されていることの確認、潜在的な悪用シナリオを特定するためのビジネスロジックの負荷テスト、すべてのAPIの網羅的な特定とセキュリティ確保を行い、適切に保護されていることを確認します。

9. AI戦略を策定する

AI技術が現代のデジタル体験に深く組み込まれるようになる中、Webアプリケーションセキュリティのベストプラクティスの一環として、明確なAI戦略を策定し、発展させることがますます重要になっています。この戦略には、AI搭載アプリケーションを新たな脅威から保護することと、AIおよび機械学習を活用して全体的なセキュリティ態勢を強化することの両方を含める必要があります。

特に生成AIアプリケーションには、固有のセキュリティリスクがあります。たとえば、情報漏えい、意図しない動作や予測不能な動作、トレーニングデータに悪意のあるコードが混入する可能性などです。こうしたリスクを軽減するには、セキュアコーディング、アクセス制御、脆弱性テストなど、標準的なアプリケーションセキュリティの原則を適用するとともに、AI固有の懸念にも対処する必要があります。具体的には、トレーニングデータのサプライチェーンの完全性を検証し、インジェクション攻撃を防ぐために、プロンプトのサニタイズ、入力検証、プロンプトフィルタリングなどの保護策を実装します。

AIは、Webアプリケーションセキュリティの強化にも大きく貢献します。組織はAIを活用することで、脅威をより迅速かつ正確に検知し、脆弱性をプロアクティブに特定して修正できるほか、反復的なセキュリティタスクを自動化して、ITおよびセキュリティ運用の効率を向上できます。

10. 包括的なWebアプリケーションおよびAPI保護（WAAP）ソリューションを使用する

アプリケーションの分散化が進み、攻撃者の手口が高度化する中、堅牢なWebアプリケーション保護を実現し、複雑なアプリケーション環境全体のセキュリティ運用を簡素化するには、包括的なWebアプリケーションおよびAPI保護（WAAP）ソリューションの導入がますます重要になっています。

WAAPソリューションは、一般的なWebアプリのエクスプロイトから保護するWAFなど、アプリケーションをエンドツーエンドで保護するための複数の中核的なセキュリティ機能を統合します。また、APIの検出と監視、脅威検出、ランタイム保護など、包括的なAPIセキュリティも備えています。さらに、ネットワーク層とアプリケーション層（レイヤー3、4、7）にわたるDDoS緩和に加え、悪意のある自動トラフィックを検出、分類、ブロックしながら、正規のボットを中断なく動作させるボット保護および管理機能も提供します。

WAAPの主なメリットには、導入アーキテクチャや場所を問わず、あらゆる環境で一貫した保護を可能にするセキュリティポリシーの一元管理と、アプリケーションとAPIの両方に対応する統合されたセキュリティ制御が含まれます。また、WAAPは脅威環境全体の可視性と異常検知を向上させ、詳細な監査証跡とイベント相関によって、規制遵守とインシデント対応を支援します。

包括的なWAAPソリューションは、複雑化するアプリケーションエコシステム全体の保護を強化しながら、セキュリティ運用を簡素化します。

F5が提供するWebアプリケーションとAPIのセキュリティ

The F5 Application Delivery and Security Platformは、エッジからクラウドまで、あらゆるWebアプリ、API、基盤インフラストラクチャに、一貫した包括的なセキュリティ、高可用性、そして極めて負荷の高いワークロードに対応するインテリジェントなオーケストレーションを確保するために必要な重要サービスを統合します。プラットフォームベースのアーキテクチャを採用したApplication Delivery and Security Platformは、F5の全製品ポートフォリオを組み込み、あらゆる環境に導入できます。

詳細については、こちらの動画をご覧ください。

著者について

F5 Newsroom Staff

F5 Newsroom Staffのその他のブログ記事