ZAP」という単語が出てくることも多いですね。これらを簡潔に解説すると以下の通りとなります。ZAP」について、サイバーセキュリティの観点からそれぞれ解説していきます。読み方は「オワスプ」です。Project(国際ウェブセキュリティ標準機構)」の略であり、組織名となります。アメリカ合衆国のメリーランド州に本部を持つ非営利組織であり、Webアプリケーションのセキュリティに関する研究や、ガイドラインの作成、脆弱性診断ツールの開発、イベント開催等の多岐に渡る活動を行っています。Japan」が存在します。10」はWebアプリケーションのセキュリティに関する脅威や危険性のトレンドをまとめた資料です。10」として発表しています。10」では、「悪用のしやすさ」「弱点の蔓延度」「弱点の検出のしやすさ」「技術面への影響」「ビジネスへの影響」の観点でそれぞれに点数をつけ、リスクの高さを可視化し、危険度の高い10種類の脆弱性を整理しています。のしやすさ」の平均を求め、その数値と「技術面への影響」の数値の積を求めたものを総得点としています。シナリオの例」「参考資料」など具体的なリスクの発見方法や対策につながる情報を得ることもできます。10」は通常2〜3年周期で発表されます。2017」となります。10」はWebアプリケーションに対する最新のサイバー攻撃の傾向を把握するのに非常に有用です。新たに発見された攻撃のトレンドを知っていると、その攻撃と似ている他の攻撃にも早く、戦略的に対応できるようになるからです。10」は、専門技術を共有した全世界のセキュリティ専門家たちがオープンに意見を交わし作成されるため、新たなWebアプリケーションやWebサービスを開発する際のサイバー攻撃への対応の指針として利用されることもあります。10」は専門技術を共有した全世界のセキュリティ専門家たちが、オープンに意見を交わし、作成されるため、非常に重要度の高い資料です。10」をWebセキュリティにおける重要なガイドライン/指標として捉えています。10」に取り上げられたトピックに対応できていない場合、セキュアな開発を実施するベストプラクティスを実施していないとみなされることもあります。10」をWebセキュリティの指標やガイドラインとして、度々言及や参考資料などを公開しています。Proxy)」は、Webアプリケーション/Webサービスの脆弱性を簡易検索するチェックツールです。公式サイトからダウンロードできます。無料で使えるOSS(オープンソースソフトウェア)としてGitHub上にソースコードが公開されています。主な利用シーンとしては「Webアプリケーションの開発者が開発時に簡易的に脆弱性診断を実施する」ことを意識して作られています。ZAPが検査可能な主な脆弱性は以下のとおりです。ZAP」はGUI(グラフィカルインターフェース)を備えており、以下の簡易な脆弱性診断だけであれば、検索対象のWebアプリケーション/サービスのURLを入力し、実行ボタンをクリックするだけで、簡単に実行可能です。ZAP」が準備している脆弱性診断用の検査文字列を利用し、脆弱性診断を実施する機能。ZAPを動作させ手動で脆弱性診断を行うことや、簡易のレポートを作成する機能なども存在します。ZAP」ですべてのWebアプリケーションの脆弱性対策を実施することを推奨していません。10」は最新のサイバー攻撃のトレンドに対策を講じるために大変重要な資料です。Webアプリケーション/Webサービスに関する全ての脅威が記載されているわけではありません。2017」の「導入」セクションには以下のような記載がなされています。リケーションセキュリティの弱点の影響について教育することです。これらのリスクの高い問題のある領域を守るための基本的なテクニックを提供し、現時点からどこへ進めるべきなかについてのガイダンスを提供します。10」は最新のサイバー攻撃において一般的に発見される脅威を提示しています。本資料記載された脅威にすべて対処したとしても、資料内に該当しない脆弱性に対するサイバー攻撃のリスクは残存したままとなります。10-2017」では除外、またはマージされていますが、以下のように言及されています。忘れて良いという意味ではない"あくまで、その時点での最新のトレンドであり、注視すべきセキュリティ上の脅威に対する啓発であることを覚えておきましょう。サイバー攻撃の手法や脆弱性は今この瞬間も新たに発見されています。このようなサイバーセキュリティの攻撃に対処するためにも、最新の情報を取得し、セキュリティツールや脆弱性自動管理ツールなどを利用することで、サイバーセキュリティ対策を効率的にかつ安全に行えるようになります。脆弱性自動管理ツール「yamory」はアプリケーションに含まれるOSSの一覧を自動で作成し、脆弱性の有無、さらには攻撃用コードが流通していないかまで自動で確認し、攻撃リスクの高いOSSの脆弱性とその対応方法を提供するツールです。世の中の90%超のアプリケーションはOSSを使用して構成されています。一口に言っても自社のセキュリティ担当者やセキュリティコンサルタント会社による手動での脆弱性診断だけではすべてを見切ることはとても困難であり、膨大な時間がかかります。その脆弱性が未対応で残された状態は非常に攻撃リスクの高い状態となります。そこで、効率的に脆弱性の管理・対策をするため、脆弱性管理ツールの導入が必要になってきます。「yamory」は以下の機能を提供することで、脆弱性管理を効率化、かつセキュアな開発にリソースを集中する機会を提供します。30日間の無料トライアルで、自社の脆弱性を見える化してみませんか。yamory利用規約プライバシーポリシーリリースノート。