2021年版OWASP Top 10ライトボード解説動画シリーズ

テスト対象アプリの94%で、何らかのアクセス制御の不備が確認されました。こうした不備により、データの不正な開示、改ざん、破壊、権限昇格が発生し、アカウント乗っ取り（ATO）、データ侵害、罰金、ブランド毀損につながる可能性があります。

暗号化の不備は、以前は「機密データの露出」と呼ばれていたもので、機密データの漏えいやユーザーセッションの乗っ取りにつながります。TLS 1.3が広く採用されているにもかかわらず、古く脆弱なプロトコルが依然として有効化されています。

インジェクションは、信頼できない入力によってアプリケーションのプログラム実行が改変される、広範な攻撃ベクトルの一種です。データの窃取や完全性の喪失、サービス拒否、システム全体の侵害につながる可能性があります。インジェクションはもはや最大のリスクではありませんが、依然として重大な脅威です。

セキュリティは、アプリケーションに本質的に組み込まれている必要があります。セキュアな設計であっても、実装上の欠陥によって脆弱性が生じる可能性があります。一方、セキュアでない設計は、実装が完璧でも修正できません。

セキュリティの設定不備は、クラウド侵害の主な原因の1つです。最新のアプリ開発、ソフトウェアの再利用、クラウド全体にわたるアーキテクチャの拡大によってこのリスクが高まる中、実施すべきことと避けるべきことをご確認ください。

オープンソースソフトウェアの脆弱性を悪用した攻撃は、多くの大規模なセキュリティインシデントの原因となっています。最近発見されたLog4j2の脆弱性は、この種のリスクとしてはこれまでで最も深刻なものかもしれません。

ビジネスロジックの悪用を防ぐには、本人確認を徹底し、強固な認証とセッション管理を使用することが不可欠です。認証攻撃の多くは、パスワードが引き続き使用されていることに起因します。漏えいした認証情報、ボットネット、高度なツールにより、クレデンシャルスタッフィングなどの自動攻撃は高い投資対効果を得られる魅力的な手段となっています。

この新しいリスクカテゴリーは、完全性を検証せずに、ソフトウェア更新、重要なデータ、CI/CDパイプラインに関する前提を置くことに焦点を当てています。SolarWindsのサプライチェーン攻撃は、これまでに確認された中でも特に被害の大きい事例の1つです。

アプリのアクティビティを適切にログに記録して監視しなければ、侵害を検知できません。これを怠ると、可視性、インシデントのアラート、フォレンジックに直接影響します。攻撃者の検知が遅れるほど、システムが侵害される可能性が高まります。

SSRFの脆弱性は、Webアプリがユーザー指定のURLを検証せずにリモートリソースを取得する場合に発生します。攻撃者は、ファイアウォール、VPN、その他のネットワークアクセス制御リスト（ACL）で保護されている宛先であっても、アプリを操って想定外の宛先にリクエストを送信させることができます。