OWASPによるWebアプリケーションへの自動化された脅威

このOWASPプロジェクトでは、Webアプリケーションを標的とする自動化された脅威を特定し、そのリスクを軽減するためのセキュリティ対策とベストプラクティスを推奨することに重点を置いています。

自動化された脅威とは、人間がWebアプリケーションを手動で操作するのではなく、ボット、スクリプト、ハッカーツールキットによって実行される悪意のある攻撃を指します。こうした脅威は、WebアプリケーションやAPIに内在する脆弱性を悪用し、セキュリティ侵害、データ窃取、アカウント乗っ取り、不正行為などの被害を引き起こす可能性があります。

The goal of the OWASP（Open Worldwide Application Security Project）の「Automated Threats to Web Applications Project」は、Webアプリケーションが一般的に直面するさまざまな自動化された脅威について、包括的かつ標準化された理解を提供することを目的としています。こうした自動攻撃は、モバイルアプリやAPIを標的とするケースが増えています。このプロジェクトでは、Webアプリケーションに対する実際の自動攻撃に関する調査と分析を集約し、運用担当者がこうした脅威から防御するために役立つ文書を作成しています。

自動化された脅威とは

自動化された脅威とは、人間がWebアプリケーションを手動で操作して行うのではなく、ボット、スクリプト、ハッカーツールキットによって実行される悪意のある攻撃を指します。こうした脅威は、WebアプリケーションやAPIに内在する脆弱性を悪用し、セキュリティ侵害、データ窃取、アカウント乗っ取り、不正行為などの有害な結果を引き起こす可能性があります。

アプリケーションにショッピングカートがあること自体は脆弱性ではありませんが、商品をショッピングカートに追加するためのビジネスロジックが自動化ツールの標的となり、操作されることで、在庫の買い占めが発生する可能性があります。

このプロジェクトでは、Webアプリケーションを標的とするさまざまな自動化された脅威のカタログ（分類体系）を作成しています。これらの脅威を特定して分類することで、開発者、セキュリティ担当者、組織は、直面するリスクとシステムへの潜在的な影響について理解を深めることができます。また、このプロジェクトでは、自動化された脅威ごとに、リスクを軽減するための効果的な対策とベストプラクティスを推奨しています。OWASPは、これらの脅威に対する認識を高めることで、プロアクティブなセキュリティ対策を促進し、Webアプリケーション全体のセキュリティ態勢を向上させることを目指しています。

多くの自動化された脅威はボットを利用するため、ボット管理とボット対策を区別することが重要です。ボット管理とは、Webアプリケーションとやり取りするボットを管理するための戦略と手法を指します。ボット管理の目的は、単にボットをブロックしたり、その影響を軽減したりすることだけではなく、正当なボットトラフィック（検索エンジンのクローラーなど）と悪意のあるボットを識別することにもあります。ボット対策は、特に悪意のあるボットがWebアプリケーションに及ぼす影響を軽減または排除するプロセスに重点を置いています。これには、アカウント乗っ取り（ATO）や不正行為につながる有害な操作や攻撃をボットが実行できないよう、防御策を講じることが含まれます。

OWASPによるWebアプリケーションへの自動化された脅威の一覧

以下は、OWASP Automated Threats to Web Application Projectが特定し、まとめた自動化された脅威の一覧です。

アカウントアグリゲーション。 これらの攻撃は、複数のサイトやプラットフォームからユーザーアカウントの認証情報を収集することを目的としており、多くの場合、個人情報の窃取、金融詐欺、機密情報への不正アクセスなどの悪意ある目的で行われます。アカウントアグリゲーション攻撃には、さまざまなWebサービスやアプリケーションで人間の操作を模倣する自動化されたボットやスクリプトが使用されます。
アカウント作成。この攻撃では、悪意のある攻撃者が自動化されたスクリプトやボットを使用して、プラットフォームやWebサイト上に大量の偽ユーザーアカウントを作成します。攻撃者はこれらの偽アカウントを利用して、スパムコンテンツ、広告、悪意のあるリンクをプラットフォームに大量に投稿し、正規ユーザーの利用を妨げたり、不快感を与えたりする可能性があります。また、偽アカウントは、Webサイトやアプリケーション上の世論やレビュー／評価を操作したり、実在するユーザーや著名人になりすまして誤情報を拡散したり、評判を損なったりする目的にも利用される可能性があります。この脅威は、ファーストパーティ詐欺とも呼ばれる新規口座開設詐欺につながる可能性もあり、デジタル世界全体に影響を及ぼします。
広告詐欺。クリック詐欺とも呼ばれるこの脅威は、クリック数やインプレッション数など、オンライン広告に対するインタラクション数を偽る不正行為です。通常、こうした不正行為は自動化されたボットやスクリプトを通じて実行され、詐欺行為者が収益を得ることや、広告のパフォーマンス指標を操作することを目的としています。
CAPTCHAの突破。この脅威は、自動化された手法を使用してCAPTCHAチャレンジを回避または迂回するものであり、Webアプリケーションのセキュリティにとって重大な懸念事項です。これは、悪意のある攻撃者が一般的なボット対策を回避できるようになるためです。CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は、人間のユーザーと自動化されたボットやスクリプトを識別するためのセキュリティ制御です。攻撃者は、画像認識ソフトウェアを使用して視覚型CAPTCHAを解いたり、機械学習アルゴリズムを導入して音声型やパズル型のCAPTCHAを解いたりできます。場合によっては、攻撃者は人間のCAPTCHA解読者を雇い、リアルタイムでCAPTCHAを手動で解かせます。CAPTCHAは一般的に使用されているセキュリティ制御ですが、回避される可能性があるうえ、正規ユーザーのカスタマーエクスペリエンスに摩擦を生じさせ、取引の中断や収益機会の喪失につながることがあります。
カードクラッキング。これは、カード番号、有効期限、セキュリティコード（CVV/CVC）など、決済カードのセキュリティ情報を推測または解読する自動化されたサイバー犯罪の一種です。カードクラッキングでは通常、ブルートフォース攻撃が用いられます。自動化されたボットやスクリプトが、有効なカードと一致する組み合わせを見つけるまで、カード情報のさまざまな組み合わせを体系的に試行します。有効なカード情報が特定されると、不正購入や金融詐欺など、さまざまな違法行為に悪用される可能性があります。攻撃者は、実店舗から残高がチャージされていないギフトカードを数枚持ち出し、ギフトカード発行会社が連番の採番パターンを使用しているかどうかを確認する場合があります。
カーディング。 この形態の自動化されたサイバー犯罪では、盗まれた決済カード情報を不正に使用して、詐欺的な取引や購入を行います。犯罪者は自動化されたボットやスクリプトを使用し、盗まれたクレジットカードやデビットカードの情報をさまざまなWebサイトやアプリケーションで試して、その情報を受け付けるサイトやアプリケーションを特定します。自動化されたボットが脆弱な標的を特定すると、盗まれたカード情報を使用して、多くの場合、高額商品やデジタルサービスを不正に購入したり、利用可能な残高を別のアカウントに移したりします。
現金化。 これは、流動性の低い資産や仮想通貨を、現実世界で使用できる資金や有形の商品に換える行為を指します。この脅威は、多くの場合、オンラインプラットフォームやアカウントから価値のある資産を盗み出す攻撃が成功した後に発生します。攻撃者は、Webアプリケーションやオンラインプラットフォームのユーザーアカウントを乗っ取ると、そのアカウントを利用して、ギフトカード、ロイヤルティポイント、仮想通貨など、アカウント所有者の資産を現金化することがあります。ボットを使用すると、サイバー犯罪者がこうした不正行為を大規模かつ効率的に実行できるため、現金化を容易にする目的でボットが多用されています。
クレデンシャルクラッキング。これは、ログインページ、ユーザーアカウントポータル、認証APIなど、Webアプリケーションのログインメカニズムを標的とするブルートフォース攻撃の一種です。攻撃者は自動化ツールを使用し、一般的なユーザー名とパスワードの組み合わせを、ユーザーアカウントへの不正アクセスに成功するまで体系的に試行します。これにより、攻撃者は個人情報の窃取、金融詐欺、その他の不正行為など、悪意のある活動を実行できるようになります。
クレデンシャルスタッフィング。 Webアプリケーションに対する脅威の中でも特に一般的なクレデンシャルスタッフィングは、サイバー犯罪者が、多くの場合ダークウェブで購入したユーザー名とパスワードの組み合わせのリストを入手し、その認証情報を使って別のログイン保護されたアカウントへのアクセスを試みる攻撃です。多くの人がユーザー名とパスワードを使い回しているため、この攻撃（アカウント乗っ取りとも呼ばれます）は非常に高い効果を上げることがあり、犯罪者がユーザーアカウントを乗っ取って資産を盗んだり、第三者を狙った詐欺を行ったりすることが可能になります。
在庫枯渇攻撃。 この攻撃では、攻撃者がボットを使用して大量の商品をショッピングカートに追加し、購入手続きに進まないことで、ECサイトの商品を販売できない状態にします。システム上は在庫切れとなるため、ほかの買い物客は商品を購入できず、決済が完了しないため販売事業者も販売機会を失います。この自動化された脅威の亜種では、ボットを使用してホテルの客室、レストランの席、航空機の座席を予約または仮押さえし、支払いを完了しません。
サービス拒否（DoS）と分散型サービス拒否（DDoS）。これらの攻撃は、標的となるシステムやネットワークの正常な動作を妨害し、正規ユーザーが利用できない状態にする悪意ある試みです。DDoS攻撃では、攻撃者が膨大な量のトラフィックやリソース要求を標的に集中させ、サーバーを過負荷状態にしてサービスを利用不能にします。こうした攻撃には、標的に大量のパケットを送り付ける、特殊な細工を施したリクエストを送信するなど、さまざまな手法が用いられます。DoS攻撃とDDoS攻撃は似ていますが、DDoS攻撃では複数の送信元が関与します。通常、これらの送信元は、攻撃者の制御下にある侵害されたコンピューターやデバイスのネットワークであるボットネットを通じて連携します。攻撃者は複数の送信元を連携させ、標的に対して同時に攻撃を仕掛けます。ボットネットのリソースを組み合わせて利用することで、攻撃者は膨大な量のトラフィックやリクエストを生成し、標的システムの処理能力を超過させてサービス拒否を引き起こすことができます。これらの攻撃により、ファイアウォールのステートテーブル、CPUリソース、インフラストラクチャの帯域幅が逼迫する可能性があります。DoS攻撃は、Webアプリケーションに対する巧妙に細工された単一のリクエストでも実行できます。たとえば、CPU使用率の上昇やパフォーマンス低下を引き起こす複雑なSQLクエリが挙げられます。
迅速化。 この脅威では、自動化されたボットやスクリプトを使用し、通常の制限やチェックを回避して、一連のアプリケーションプロセスを短時間で完了させます。プロセスを自動化することで、攻撃者や悪意のあるユーザーは、他の正規ユーザーに対して不当な優位性を得る可能性があります。この行為は多くの場合、不正行為を伴い、他者に損失をもたらす可能性があります。
フィンガープリンティング。 脅威アクターは、情報収集手法としてフィンガープリンティングを使用し、ユーザーのWebブラウザーやデバイスに固有の特性や属性を収集・分析して、識別可能な「フィンガープリント」を作成します。これにより、さまざまなWebサイトやオンラインプラットフォームを横断して個々のユーザーを識別・追跡したり、アプリケーションをプロファイリングして、その後攻撃したりできます。
フットプリンティング。これは、それ自体が自動化された脅威なのではなく、ハッキングや偵察活動の前段階に当たります。フットプリンティングでは、ボットやスクリプトを使用して、標的となるWebアプリケーションの構成、設定、セキュリティメカニズムに関する情報を収集します。これにより攻撃者は、不正アクセスを得るための標的型エクスプロイトの実行や、特定の脆弱性の悪用など、その後の攻撃をより綿密に計画できるようになります。
スキャルピングまたは在庫の買い占め。これは購入自動化の一種で、攻撃者がボットを使用し、在庫が限られた商品やサービス（コンサートチケットや限定版スニーカーなど）がオンラインで発売された瞬間に大量購入する行為です。決済手続きを瞬時に完了することで、犯罪者は価値の高い在庫を大量に確保します。通常、これらは流通市場で大幅に上乗せした価格で転売されるため、人為的な品薄や在庫枯渇を招き、消費者の不満につながります。
スクレイピング。 スクレイピングは本質的に悪意のある行為ではありませんが、WebサイトやWebアプリケーションからデータを自動的に抽出するプロセスです。特に競争の激しい市場において、ボットを使用して対象Webサイトからコンテンツを収集し、分析、再利用、価格操作を行うなど、不正または悪意のある目的で使用されると、自動化された脅威となります。また、スクレイピングはサイトのパフォーマンスに影響を及ぼし、正規ユーザーによるサイトへのアクセスを妨げる可能性もあります。
スキューイング。 悪意のある攻撃者がWebアプリケーション上でクリック、リクエスト、コンテンツの送信を繰り返し、件数、「いいね」の数、インプレッション数、投票結果、頻度、比率など、アプリケーションに基づく指標に意図的な影響を与えることで発生します。スキューイングは、人間の行動を模倣する自動ボットを使用し、Webアプリケーションとの人為的なインタラクションを生成することで実行される場合があります。その目的は、アプリケーションに基づく指標から生成されるデータを操作して歪め、不正確または誤解を招く結果を生じさせることです。
スナイピング。 オンラインオークション、販売、予約システムにおいて、自動化されたボットやスクリプトを使用して競争上の優位性を得る悪意のある行為の一種です。「スナイピング」という用語は一般に、スピードと正確なタイミングが極めて重要となる、時間制のイベントや数量限定の商品などに関連して使用されます。他のユーザーが入札や申し込みを行う時間を十分に確保できないようにする行為です。ボットは人間よりも迅速かつ正確に操作を実行できるため、スナイピングによって、攻撃者はイベントに手動で参加しているユーザーよりも競争上の優位性を得られます。
スパミング。ボットによって配信され、Webアプリケーション上の公開または非公開コンテンツ、データベース、ユーザーメッセージに表示される、悪意のあるコンテンツや疑わしい情報を指します。悪意のあるコンテンツには、マルウェア、IFRAMEポップアップ、写真、動画、広告、追跡／監視コードなどが含まれる場合があります。攻撃者はスパミングを利用して、フォーラムやその他のメッセージングアプリに偽のコメントを追加し、情報を改ざんしたり、マルウェアを配布したりすることもあります。
トークンクラッキング。 この自動化された攻撃は、犯罪者がクーポン番号、バウチャーコード、割引トークンを大量に列挙することで発生します。これにより、割引、現金相当の特典、クレジット、特別オファーへのアクセスなどを不正に取得する可能性があります。
脆弱性スキャン。 この脅威は、自動化ツールやスクリプトを使用してWebアプリケーションの脆弱性を特定し、悪用する行為を指します。セキュリティの向上を目的として弱点を特定する正当な脆弱性スキャンとは異なり、自動化された脅威としての脆弱性スキャンは、アプリケーションのセキュリティを侵害する悪意をもって実行されます。犯罪者は通常、脆弱性が公開された直後に、自動スキャンツールやスクリプトを使用して、インターネットに公開されているアプリケーションを体系的にスキャンします。脆弱性を特定すると、それを悪用して、アプリケーション、機密データ、または基盤となるサーバーインフラストラクチャへの不正アクセスを試みます。

統合型セキュリティ制御が必要な理由

F5によるOWASPセキュリティリスクへの対応

F5は、ソフトウェアセキュリティの向上と、さまざまなレベルにおけるWebアプリケーションのセキュリティリスクおよび脆弱性に対する認識向上に取り組むOWASP Foundationを支援しています。実際、WebアプリとAPIの両方に共通するセキュリティリスクがあります。セキュリティソリューションを導入する際には、こうしたリスクを考慮する必要があります。たとえば、次のようなものがあります。

脆弱な認証／認可制御
設定ミス
ビジネスロジックの悪用（クレデンシャルスタッフィング、アカウント乗っ取り）
サーバーサイドリクエストフォージェリ（SSRF）。

F5は、OWASPのAutomated Threats to Web Applications Projectで概説されているリスクに対処するソリューションを提供しています。F5 Distributed Cloud Bot Defenseは、既存のボット管理ソリューションを回避する可能性のある不正行為や悪用を防止します。また、リアルタイムの監視とインテリジェンスに加え、機械学習に基づく遡及分析を提供し、ユーザーに負担をかけたり顧客体験を損なったりすることなく、自動化された攻撃から組織を保護します。攻撃者が手法を変更しても、攻撃対象をWebアプリからAPIに移した場合でも、テレメトリの偽装や人間によるCAPTCHA解読サービスの利用によって自動化対策を回避しようとした場合でも、Distributed Cloud Bot Defenseは有効性を維持します。 F5 Bot Managementソリューションは、アプリケーションプロキシ、プラットフォーム、コンテンツ配信ネットワーク（CDN）に柔軟な挿入ポイントを提供します。

F5 Web Application Firewallソリューションは、OWASP Top 10で特定されている幅広いリスクもブロックし、軽減します。OWASP Top 10は、最も重大なWebアプリケーションセキュリティリスクをまとめた、広く認知されているリストです。F5 WAFソリューションは、F5 Labsの脅威インテリジェンスやMLベースのセキュリティを含むシグネチャベースと振る舞いベースの保護を組み合わせ、進化する脅威に対応します。クラウド、オンプレミス、エッジ環境全体でアプリケーションを一貫して保護する際の負担と複雑さを軽減するとともに、一元化されたSaaSインフラストラクチャによって管理を簡素化します。また、F5 WAFは、中核的なセキュリティ機能、一元的なオーケストレーション、分散アプリケーション全体のアプリケーションパフォーマンスとセキュリティイベントを360度可視化する単一のダッシュボードによる監視を通じて、開発フレームワークやCI/CDパイプラインに保護機能を統合し、アプリケーションセキュリティを効率化します。専用のボット対策を統合したWAFは、脆弱性を悪用する攻撃や自動化された脅威など、主要なセキュリティリスクを軽減するための堅牢なソリューションとなります。

F5は、OWASP API Security Top 10で特定されたリスクに対し、拡大する攻撃対象領域や新たな脅威から保護するソリューションを提供します。アプリの進化とAPI導入の増加にも対応します。 F5 Web Application and API Protection (WAAP)ソリューションは、WAF、API Security、L3～L7のDDoS緩和、自動化された脅威とそれに伴う不正行為に対するボット対策など、包括的な保護機能により、最新アプリの攻撃対象領域全体を防御します。分散型プラットフォームにより、一貫したポリシーを容易に導入し、アプリとAPIの環境全体にわたって、ホストされている場所を問わずセキュリティを拡張できます。また、保護機能をAPIライフサイクルや、より広範なセキュリティエコシステムに統合できます。

F5は、高度なオンラインセキュリティを実現するため、多層型DDoS防御も提供しています。これは、大規模なネットワーク攻撃、プロトコル攻撃、アプリケーションを標的とする攻撃をリアルタイムで検知・緩和する、クラウド提供型のマネージド緩和サービスです。同じ防御機能は、オンプレミスのハードウェア、ソフトウェア、ハイブリッドソリューションとしても利用できます。F5 Distributed Cloud DDoS Mitigationは、ボリューム型攻撃、アプリケーション固有のレイヤー3～4攻撃、高度なレイヤー7攻撃がネットワークインフラストラクチャやアプリケーションに到達する前に防御します。

F5 ADSPのプラットフォームコンポーネントがOWASPのセキュリティリスクからどのように保護するかについて詳しくは、以下のリソースをご覧ください。