application-security

アプリケーションセキュリティ

OWASP Top 10（2021）

1. アクセス制御の不備

リスク：ユーザーが許可されていないリソースにアクセスします。

予防策：

• デフォルトで拒否する
• RBAC/ABAC を実装する
• サーバー側で権限を検証する
• アクセス失敗をログに記録する

2. 暗号化の失敗

リスク：機密データが漏えいします。

予防策：

• 保存時および転送時にデータを暗号化する
• 強力なアルゴリズム（AES-256、RSA-2048 以上）を使用する
• パスワードを平文で保存しない
• 安全な鍵管理を使用する

3. インジェクション

リスク：悪意のある入力がコードとして実行されます。

予防策：

// BAD - SQL injection
const query = `SELECT * FROM users WHERE id = ${userId}`;

// GOOD - Parameterized query
const query = 'SELECT * FROM users WHERE id = $1';
db.query(query, [userId]);

4. 安全でない設計

リスク：設計上、セキュリティ対策が不足しています。

予防策：

• 脅威モデリング
• セキュリティ要件
• 多層防御

5. セキュリティ設定の不備

リスク：デフォルトまたは脆弱な設定になっています。

予防策：

• 不要な機能を無効にする
• デフォルトの認証情報を削除する
• ソフトウェアを最新の状態に保つ
• サーバー設定を強化する

6. 脆弱なコンポーネント

リスク：既知の脆弱性があるライブラリを使用します。

予防策：

• 依存関係を定期的に監査する
• 依存関係を最新の状態に保つ
• CVE データベースを監視する

7. 認証の失敗

リスク：認証が脆弱、または正しく機能しません。

予防策：

• 多要素認証
• 強力なパスワードポリシー
• 安全なセッション管理
• ログイン時のレート制限

8. ソフトウェアとデータの完全性

リスク：信頼できないソースから更新を取得します。

予防策：

• コード署名を検証する
• CDN リソースに SRI を使用する
• CI/CD パイプラインを保護する

9. ログ記録と監視の失敗

リスク：攻撃が検知されません。

予防策：

• セキュリティイベントをログに記録する
• 異常を監視する
• 不審なアクティビティを検知したらアラートを発する

10. サーバーサイドリクエストフォージェリ

リスク：サーバーが意図しない宛先にリクエストを送信します。

予防策：

• URL を検証する
• 許可リストを使用する
• 内部 IP をブロックする