10」をご紹介します。10は3年に1度のペースで改定されてきたドキュメントで、特にウェブアプリケーションにおける重要な脆弱性やその脆弱性を作りこまないようにする方法を示しています。これによりセキュリティ対策の基礎を効率的、効果的に学ぶことができるため、これからセキュリティに関する勉強を始めたい方にうってつけです。10とは重要なインパクトのある10の脆弱性その他に考慮したい脆弱性Page2継続可能なSDLCを実現するにはウェブアプリケーションセキュリティ要件を学ぶウェブアプリケーションセキュリティアーキテクチャを学ぶ標準的なセキュリティ制御を学ぶセキュアなSDLCを学ぶウェブアプリケーションセキュリティ教育を学ぶまとめ参考資料はじめにサイバー攻撃による個人情報の漏えいやサービス提供不能などのニュースが毎日のように報道される中、セキュリティ専任者だけでなく、開発者や経営者であってもセキュリティ対策に注意を払う必要性が高まっています。いえ、IT技術の発展に伴いビジネスのスピード感は加速する中で、そのスピード感を抑えるものと考えられがちなセキュリティ対策は蔑ろにされることが多いです。仮に対策されていたとしても場当たり的な対策に留まっており、必ずしも効果的・効率的な対策とはなっていません。このような状況下においてセキュリティ対策として本質的に必要なことは、「セキュアと言われているものに頼ること」だけではなく、「構造的にセキュリティに意識を向け、具体的な施策を使えるようにすること」です。OWASPコミュニティの幅広いジャンルおよびレベルのドキュメントやツールは、開発者、運用エンジニア、ディレクタ、ウェブアプリケーションに関係する、どのような立場の方でもご活用いただけるものであり、セキュリティの考え方や現実的な施策を展開しています。「セキュリティの勉強を始める必要性は感じているけど何から始めたらよいか分からない」といったご意見を開発者の方から多くいただいていますが、これらOWASPコミュニティの成果物を通じて、ソフトウェア開発ライフサイクル(SDLC)におけるセキュア開発の実現力を高めるきっかけを掴むことができます。10」をご紹介します。10を活用することで重要な脆弱性の内容を理解するとともに、その対処法についても学ぶことができます。10を通じてセキュリティの世界の扉を開いてみましょう。10とは3年に1度の頻度で公開される、ウェブアプリケーションにおける重要な脆弱性やその脆弱性を作りこまないようにする方法などを示した成果物です。2013年に公開されたものが最新版であり、日本語に翻訳されています。10に掲載されている脆弱性に対応できていること」をセキュリティ要件として定めていることもあります。10に対応していることを示して、その品質を訴求するなど、個人のみならず法人においても活用されています。10では、以下のような脆弱性が示されています。SQL、OS、LDAPなどに悪意のある文字列を挿入するインジェクション攻撃により、意図しないコマンドの実行や適切な権限のないデータへのアクセスが行われます。パスワード、鍵、セッショントークンなどを漏洩させたり、他の実装不備を用いてなりすましなどが行われます。被害者のブラウザ上でスクリプトを実行し、ユーザセッションのハイジャック、ウェブサイトの改ざん、悪意のあるサイトへのリダイレクトなどが行われます。オブジェクトに直接アクセスされ、適切な権限のないデータへのアクセスが行われます。デフォルト設定での利用や最新のソフトウェアを利用していないことなどにより、アプリケーション、フレームワーク、サーバなどのセキュリティが損なわれ、最悪の場合、機密性の高い情報の漏洩につながります。機密性の高い情報が適切に保護されておらず、それらの情報が漏洩します。機能レベルでのアクセス制御が行われていないことにより本来許可されていない機能を利用されます。トを被害者のブラウザに生成させ、被害者が意図しない処理を実行されます。脆弱なコンポーネントを悪用されることにより、深刻なデータ損失やサーバ乗っ取りなどが行われます。適切な検証が実装されていないリダイレクト/フォーワードを悪用し、被害者をフィッシングサイトやマルウェアサイトに誘導します。それぞれの脆弱性に対し、以下の項目について解説しています(図1参照)。この脆弱性を悪用されることでどのような人が被害を受ける可能性があるかを示しています。3段階で定義しています。4段階で定義しています。3段階で定義しています。3段階で定義しています。ビジネス上の評判の低下や、リカバリにかかるコスト増など考慮すべきビジネスへの影響を示しています。基本的にはテスター向けに脆弱性有無を確認するポイントを示していますが、開発者向けに脆弱性を作りこまないようにするための概念を示しているものもあります。開発者向けに脆弱性を作りこまないようにするための具体的な方法を示しています。場合によっては具体的なコードを用いて想定される攻撃シナリオを示しています。10の最大の特徴であると筆者は考えています。その理由として、どのような攻撃が行われるかを理解せずにただ単にセキュリティを向上させる方法だけ理解しても、体系的な理解を得ることはできないからです。関連するOWASPコミュニティの他の成果物に加え、他の団体などが公表している関連資料を掲載しています。今後この連載で、A1:インジェクションやA3:クロスサイトスクリプティング(XSS)などそれぞれの詳細についての解説記事を執筆していく予定です。10として定義はされていなくても、その他に考慮すべき脆弱性の一例として以下が掲載されています。10に食い込んでくる脆弱性があるかもしれません。Leaderであり、開発者とセキュリティに携わる者の間にある溝を埋めるための活動に尽力している。本業では主にITやセキュリティを中心としたコンサルティング業務に携わる。圧縮・解凍UNIX基本講座@CodeZine『CodeZine(コードジン)』の公式アカウントです。【NEW】デブスト2019デブサミ2019福岡・関西デブサミ2019夏デブスト関西デブサミ2019×ログインEメールパスワード※旧SEメンバーシップ会員の方は、同じ登録情報(Eメール&パスワード)でログインいただけます。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。