api-security-review

API セキュリティレビュー

plays/api-security-review.md に従って、包括的な API セキュリティ評価を実施します。

手順

1. 検出と偵察

   • OpenAPI／Swagger 仕様を解析するか、コードをスキャンしてエンドポイントを特定します
   • 認証メカニズム（JWT、OAuth 2.0、API キー、mTLS）を特定します
   • API ゲートウェイとミドルウェアの設定をマッピングします
   • すべての API バージョンと非推奨エンドポイントを列挙します

2. 認証の詳細調査

   • JWT セキュリティ（アルゴリズムの混同、脆弱な署名、トークンの有効期限）
   • OAuth 2.0 フロー（PKCE、state パラメーター、リダイレクト URI の検証）
   • API キーの漏えいとローテーションポリシー
   • セッション管理とトークンの保存

3. 10 項目すべての OWASP API リスクを、攻撃シナリオとともに評価します：

   • API1 BOLA — 予測可能な ID による IDOR、バッチエンドポイントの回避、所有権検証の不備
   • API2 Broken Authentication — JWT 攻撃、OAuth の欠陥、ブルートフォース、クレデンシャルスタッフィング
   • API3 BOPA — マスアサインメント、レスポンスの過剰な公開、フィールド単位の認可回避
   • API4 Resource Consumption — レート制限の回避、ページネーションの悪用、GraphQL DoS
   • API5 BFLA — 管理者用エンドポイントの発見、水平方向／垂直方向の権限昇格
   • API6 Business Flows — 自動化された悪用、在庫の枯渇、スクレイピング攻撃
   • API7 SSRF — URL の回避、DNS リバインディング、クラウドメタデータへのアクセス
   • API8 Misconfiguration — CORS の回避、詳細すぎるエラー、ヘッダーの欠落
   • API9 Inventory — シャドー API、ゾンビエンドポイント、バージョンの混同
   • API10 Unsafe Consumption — XXE、デシリアライゼーション、Webhook のリプレイ攻撃

4. 自動テスト

   • API セキュリティスキャナー（OWASP ZAP、Burp Suite、Postman テスト）を実行します
   • 具体的なペイロードを使って、一般的な脆弱性をテストします
   • レート制限とスロットリングのメカニズムを検証します

5. API ゲートウェイとインフラストラクチャのレビュー

   • Kong、nginx、Envoy、AWS API Gateway の設定
   • WAF ルールと回避の可能性
   • TLS 設定と証明書の検証

出力

以下を含む包括的な API セキュリティレポート：

• 認証メカニズムを含む API サーフェスの一覧
• 10 項目すべてのカテゴリに対する深刻度評価付きリスクマトリクス
• 概念実証の例を含む詳細な検出結果
• エクスプロイトシナリオとビジネスへの影響分析
• コード例を含む、優先順位付けされた修正ロードマップ
• テスト成果物と脆弱性の証拠

OWASP リファレンス

• OWASP API Security Top 10 (2023)
• OWASP ASVS v5.0 — V13：API および Web サービス
• OWASP Testing Guide：WSTG-APIT
• OWASP Cheat Sheet：REST Security、GraphQL Security、JWT Security、OAuth 2.0