目次2021年のトップ10で何が変わったかA01:2021-アクセス制御の不備A02:2021-暗号化の不備A03:2021-インジェクションA04:2021-セキュアデザインの不備A05:2021-セキュリティの設定ミスA06:2021-脆弱で古いコンポーネントA07:2021-識別と認証の不備A08:2021-ソフトウェアとデータの不整合A09:2021-不十分なセキュリティのログ記録と監視A10:2021-サーバーサイドリクエストフォージェリSSRF2021年のトップ10で何が変わったか3つの新しいカテゴリ、名前とスコープが変更された4つのカテゴリといくつかの統合されたカテゴリがあります。↑5位からアップアプリケーションの94%は、何らかの形のアクセス制御の不備についてテストされてます。34のCWEがアクセス制御の不備に紐づいており、アプリケーションのカテゴリで最も多く発生しました。↑3位(機密データの漏洩)からアップ以前の機密データの漏洩は根本的な原因ではなく広範な現象でした。ここで新たに焦点を当てているのは、機密データの漏洩やシステムの侵害につながることが多い暗号化に関連する不備です。A03:2021-インジェクション↓1位からダウンアプリケーションの94%が何らかの形のインジェクションについてテストされてます。33のCWEがインジェクションに紐づいており、アプリケーションのカテゴリで2番目に多く発生しています。以前のクロスサイトスクリプティングはこのカテゴリに含まれます。A04:2021-セキュアデザインの不備NEW設計上の欠陥に関連するリスクに焦点を当てています。アーキテクチャを充実させる必要があります。セキュアデザインの不備は、その定義からして、完璧な実装によって解決されるものではありません。想定した攻撃を防御するためのセキュリティ対策ではないからです。A05:2021-セキュリティの設定ミス↑6位からアップアプリケーションの90%は、何らかの形の設定ミスについてテストされました。高度に構成可能なソフトウェアが増えるにつれ、このカテゴリーが上昇するのは当然のことです。以前のXML外部エンティティ(XXE)はこのカテゴリに含まれます。A06:2021-脆弱で古いコンポーネント↑9位(既知の脆弱性を持つコンポーネントの使用)からアップリスクのテストと評価に苦労している既知の問題です。含まれているCWEにCVEがマッピングされていない唯一のカテゴリであるため、デフォルトのエクスプロイトと影響の重み5.0がスコアに考慮されます。↓2位(認証の不備)からダウン識別の不備に関連するCWEが含まれるようになりました。このカテゴリは依然としてトップ10に含まれていますが、標準化されたフレームワークの可用性の向上が役立っているようです。CDパイプラインに関連する移行を行うことに重点を置いています。CVSSデータから最も大きい影響を受けています。以前の安全でないデシリアライゼーションはこのカテゴリに含まれます。CVSSデータでは適切に表現されていません。このカテゴリの障害は、可視性、インシデントアラート、およびフォレンジックに直接影響を与える可能性があります。A10:2021-サーバーサイドリクエストフォージェリSSRFNEWデータはエクスプロイトの影響について平均以上の評価とともに、平均以上のテストカバレッジで比較的低い発生率を示しています。このカテゴリは、現時点ではデータに示されていませんが、業界の専門家が重要であると言っているシナリオを表しています。