OWASPとは何か、OWASP Top 10の脆弱性とリスクの概要

OWASP Top 10は、最も重要なWebアプリケーション セキュリティ リスクのリストとして広く知られています。このリストは、開発者、セキュリティ専門家、組織がWebアプリケーション セキュリティの重大なリスクを特定し、緩和するための取り組みに優先順位を付ける際の指針として役立ちます。

OWASP Top 10リストに掲載されているリスクは、必ずしもすべてのWebアプリケーションでの蔓延や重大性を示すものではなく、トップ10が特定の順序や優先順位に従ってランク付けされているわけではありません。

2021年のWebアプリケーション セキュリティ リスクのOWASP Top 10は次のとおりです。

1. アクセス制御の不備。この脆弱性は、アクセス制御と認可の実施が不十分なために、攻撃者が許可されていない機能やデータにアクセスするのを許してしまうことで発生します。これは、安全でない直接オブジェクト参照（IDOR）が原因である可能性があり、内部オブジェクトへの直接参照として使用されるユーザー入力をアプリケーションが検証または認可しない場合に発生します。また、アプリケーションが最初の認証や認可の段階でアクセス制御を検証するだけで、アプリケーションの機能や操作全体を通して一貫して制御しない場合、機能レベルのアクセス制御が欠落していることが原因で発生することもあります。Web Application Firewall（WAF）は、機密性の高いオブジェクトやリソースへの不正アクセスを防ぐためにアクセス制御を監視し、実施することで、こうした攻撃を防御することができます。

2. 暗号化の失敗。このリスクは、転送中や保存中の機密データの保護が不十分なために発生します。暗号化の失敗は、データ侵害、機密情報への不正アクセス、EU一般データ保護規則（GDPR）などのデータ プライバシー規制やPCIデータ セキュリティ基準（PCI DSS）などの財務基準への違反につながる可能性があります。こうした暗号化の失敗は、安全でない暗号ストレージ、プレーン テキストでのデータの保存、安全でないキー管理などが原因で発生することがあります。また、このリスクは、脆弱なキーや乱数生成、暗号化プロトコルの欠陥などに起因する情報漏洩からも発生する可能性があります。
3. インジェクション。インジェクションの欠陥は、攻撃者が信頼できないデータや悪意のあるデータをコマンド言語やクエリ言語に挿入したり、ユーザーが提供したデータがアプリケーションで検証、フィルタリング、サニタイズされず、悪意のあるコマンドが意図せず実行されたりすることで発生します。このリスク カテゴリには、NoSQL、OSコマンド、LDAP、SQLインジェクション攻撃などがあり、さらに、他のユーザーが閲覧するWebページに攻撃者がJavaScriptなどの悪意のあるクライアント側スクリプトを挿入するクロスサイト スクリプティング（XSS）も含まれます。これにより、ログイン資格情報、個人情報、セッションcookieなどの機密情報が盗まれる可能性があります。WAFは、反射型（非永続型）、保存型（永続型）、ドキュメント オブジェクト モジュール（DOM）ベースのXSSなどの受信リクエストを検査してフィルタリングすることで、悪意のあるコードの挿入の試みを検知してブロックし、アプリケーションに到達するのを防ぐことができます。
4. 安全が確認されない不安な設計。これは、さまざまな弱点を表す広範なカテゴリで、セキュリティ制御の欠落や無効であること、アーキテクチャ上の欠陥などとして表現されます。これらの欠陥は、アプリケーションが本質的に安全でないプロセスに依存するように設計されている場合や特定の攻撃を防御するために必要なセキュリティ制御が実装されていない場合に発生する可能性があります。これらのリスクは、脅威モデリング、安全な設計パターン、リファレンス アーキテクチャの使用を拡大することで軽減できます。
5. セキュリティの設定ミス。Webアプリケーション フレームワーク、プラットフォーム、サーバ、セキュリティ管理においてセキュリティの強化を怠ることが、不正アクセス、機密情報の漏洩、その他のセキュリティ脆弱性につながります。セキュリティの設定ミスによるリスクは、クラウド サービスの権限の不適切な設定や、未使用のポート、サービス、アカウント、権限など、不要な機能のインストールや有効化によっても起こる場合があります。主要なクラウド プロバイダのデフォルトのセキュリティ構成はそれぞれ異なり、マルチクラウド ファブリック全体へのアーキテクチャの分散化が進む傾向にあるため、WebアプリケーションとAPIのどちらの設定ミスも重大なリスクとなります。
6. 脆弱で古くなったコンポーネント。ライブラリ、フレームワーク、プラグインなど、古い、パッチが適用されていない、または脆弱なコンポーネントを使用すると、アプリケーションが既知のセキュリティ上の欠陥にさらされる可能性があり、悪用されるリスクが高まります。このようなリスクは、オペレーティング システム（OS）、Web/アプリケーション サーバ、データベース管理システム（DBMS）、アプリケーション、API、そしてすべてのコンポーネント、ランタイム環境、ライブラリを含む、サポートされていないソフトウェアや古いソフトウェアから生じる可能性があります。組織がシステムの基盤となるプラットフォーム、フレームワーク、依存関係の修正やアップグレードを行うためにタイムリーなリスクベースの対策を講じていない場合は特に、これらの脅威の危険性が増し、システムが数日から数週間にわたり既知のリスクに不必要にさらされる可能性があります。複雑なソフトウェア サプライ チェーンとCI/CDパイプラインによる自動化は、脆弱なソフトウェアがITスタックに導入されるリスクを高めます。WAFは、脆弱性の悪用を防ぐための重要な応急対策として機能します。
7. 識別と認証の失敗。認証、ID、セッション管理の脆弱性を利用して、攻撃者がユーザー アカウント、パスワード、セッション トークンを侵害したり、安全でないセッション処理を悪用したりする可能性があります。これらの領域で識別と認証に失敗すると、クレデンシャル スタッフィングなどの自動攻撃を許すことになりかねません。これらのリスクの最も一般的な原因はパスワードに関係する脆弱性であり、これは多くの人がパスワードを再利用したり、デフォルトのパスワードや脆弱なパスワード、よく知られたパスワードを使用したりしているためです。セッション管理の問題も、特にログアウト中や非アクティブな期間にユーザー セッションや認証トークンが適切に無効化されなかった場合、認証関連の攻撃につながる可能性があります。OWASP Top 10、API Security Top 10、Automated Threatsの各プロジェクトで詳しく解説されているように、認証制御を回避する攻撃が、WebアプリケーションとAPIの両方のリスクを増大させています。
8. ソフトウェアとデータの整合性の不具合。これらの脆弱性は、アプリケーション コードやインフラストラクチャが、データやソフトウェアの整合性違反から保護されていないことに起因します。これは、アプリケーションが信頼できないソース、リポジトリ、CDNのプラグイン、ライブラリ、モジュールに依存している場合に発生する可能性があります。また、ソフトウェアの更新、機密データの変更、CI/CDパイプラインの変更が検証されていない場合にも発生する可能性があります。攻撃者は独自の更新をアップロードして配布し、すべてのインストール時に実行させる可能性があります。安全でないデシリアライゼーションとは、アプリケーションが信頼できないシリアル化されたデータを取得し、そのデータが有効であることを確認せずに使用することであり、このリスクもこのカテゴリに含まれ、リモート コード実行（RCE）や特権の昇格などの攻撃を許すことになります。
9. セキュリティ ログとモニタリングの失敗。ロギングとモニタリングが十分でないと、セキュリティ インシデントのタイムリーな検知と対応が妨げられ、攻撃や不正行為を特定して軽減することが困難になります。これは、ログイン、ログインの失敗、高額なトランザクションなどの監査対象イベントが識別または記録されず、アプリケーションがアクティブな攻撃をリアルタイムで検知できないことを意味します。
10. Server-Side Request Forgery（SSRF）。これらの脆弱性は、アプリケーションがリモート リソースからデータを取得する前に、ユーザーが入力したURLを検証またはサニタイズしない場合に発生します。攻撃者はこれらの欠陥を悪用することで、アプリケーションがファイアウォールなどの防御手段で保護されていても、悪意のあるWeb宛先にアクセスさせることができます。このような攻撃は、標的となるリソースがクラウドのメタデータ サービスやバックエンドのAPIなど、他のシステムと信頼関係を構築している場合にも発生し、攻撃者はこれらの信頼されたサービスにリクエストを行って機密情報を引き出したり、不正なアクションを実行したりすることができます。SSRFを軽減するには、最小権限でアクセスするようにシステムを設計し、WAFを使用してセキュリティ ポリシーでUniform Resource Identifier（URI）パラメータを明示的に定義して、それらにアクセスできるホストを許可/拒否します。

2021年版OWASP Top 10では、前回の2017年版OWASP Top 10にいくつか新しいカテゴリが追加され、名称が変更されています。これらの変更として、2017年版のリスク脅威の「XML外部エンティティ（XXE）」が2021年版の「セキュリティの設定ミス」カテゴリにまとめられ、2017年版の「クロスサイト スクリプティング（XSS）」が2021年版の「インジェクション」カテゴリに追加されています。2017年版のリスク「安全でないデシリアライゼーション」は、2021年版では「ソフトウェアとデータの整合性の不具合」カテゴリに組み込まれました。