owasp-security-review

OWASP Top 10:2025 セキュリティレビュー

<quick_reference>

クイックリファレンス

#	カテゴリ	主なリスク	平均発生率
A01	アクセス制御の不備	不正なデータアクセス、権限昇格、SSRF、CSRF	3.74%
A02	セキュリティ設定の不備	デフォルトの認証情報、詳細すぎるエラー、ハードニング不足、XXE	3.00%
A03	ソフトウェアサプライチェーンの障害	脆弱または悪意のある依存関係、侵害されたビルドパイプライン	5.72%
A04	暗号化の失敗	脆弱なアルゴリズム、ハードコードされたキー、暗号化の欠如、脆弱なハッシュ化	3.80%
A05	インジェクション	SQLi、XSS、コマンドインジェクション、LDAP/XPath/EL インジェクション	3.08%
A06	安全でない設計	脅威モデリングの欠如、ビジネスロジックの欠陥、不十分な制御	1.86%
A07	認証の失敗	パスワードリスト攻撃、脆弱なパスワード、セッション固定、MFA の欠如	2.92%
A08	ソフトウェア／データ整合性の失敗	署名されていない更新、安全でないデシリアライズ、信頼できない CDN コード	2.75%
A09	セキュリティログとアラートの失敗	監査ログの欠如、アラートなし、ログインジェクション、ログ内の機密データ	3.91%
A10	例外条件の不適切な処理	フェイルオープン、エラーによる情報漏えい、戻り値の未確認	2.95%

深刻度の分類

検出結果を報告する際は、次の深刻度レベルを使用してください。

• Critical：直接悪用可能で、システム全体の侵害や大規模なデータ侵害につながります（例：パラメーター化されていない SQLi、ハードコードされた管理者認証情報、管理者エンドポイントの認証欠如）。
• High：中程度の労力で悪用可能であり、重大なデータ漏えいや権限昇格につながります（例：IDOR、脆弱なパスワードハッシュ化、SSRF、信頼できないデータのデシリアライズ）。
• Medium：特定の条件下で悪用可能で、影響は限定的です（例：CSRF 保護の欠如、詳細すぎるエラーメッセージ、セキュリティヘッダーの欠如）。
• Low：多層防御上の問題で、直接的な影響は最小限です（例：レート制限の欠如、不完全なログ記録、最適でない暗号設定）。

</quick_reference>

ワークフロー

<phase_1_code_review>

セキュリティのコードレビュー

関連する各カテゴリに照らして、コードを体系的に確認してください。

1. コードの対象範囲を特定する — 認証を扱いますか？ ユーザー入力、ファイルアップロード、外部データ、暗号化、エラーレスポンスを扱いますか？
2. 対象範囲に基づいて、上の表から関連するカテゴリを選択します。
3. 関連する各カテゴリのリファレンスファイルを読み込み、「確認項目」セクションに照らしてコードを確認します。
4. 深刻度（Critical／High／Medium／Low）、具体的なコードの場所、具体的な修正方法を含め、カテゴリごとにまとめて検出結果を報告します。

レビューの優先順位（影響度の高い順）：

• [CRITICAL] 入力処理コード → A05（インジェクション）、A01（アクセス制御）
• [CRITICAL] 認証／セッションコード → A07（認証）、A01（アクセス制御）
• [HIGH] データの保存／転送 → A04（暗号化の失敗）
• [HIGH] 設定／デプロイ → A02（セキュリティ設定の不備）
• [HIGH] 依存関係 → A03（サプライチェーン）
• [MEDIUM] エラー処理 → A10（例外条件）、A09（ログ記録）
• [MEDIUM] アーキテクチャ／設計 → A06（安全でない設計）
• [MEDIUM] データ整合性 → A08（整合性の失敗） </phase_1_code_review>

<phase_2_audit_checklist>

セキュリティ監査チェックリスト

機能またはコードベースのチェックリストを作成します。

1. 機能／コードベースを読み、その範囲を把握します。
2. 10 個の各カテゴリについて、該当するかどうかを判断します。
3. 該当するカテゴリについては、参照ファイルを読み込み、確認項目のチェックリストを作成します。
4. カテゴリごとにまとめた Markdown 形式のチェックリストを出力します。 </phase_2_audit_checklist>

<phase_3_remediation>

修正ガイダンス

脆弱性が特定された場合：

1. 適切な OWASP カテゴリに分類します。
2. 対応する参照ファイルを読み込みます。
3. 防止チェックリストを適用して、具体的で実行可能な修正案を作成します。
4. 可能であれば、修正のコード例を提示します。 </phase_3_remediation>

参照ファイル

特定のカテゴリに関する詳細なガイダンスが必要な場合は、該当するファイルを読み込みます。

• A01 Broken Access Control — 認可チェック、IDOR、CORS、CSRF、パストラバーサル：references/a01-broken-access-control.md
• A02 Security Misconfiguration — セキュリティ強化、デフォルト認証情報、エラーメッセージ、ヘッダー、XXE：references/a02-security-misconfiguration.md
• A03 Supply Chain Failures — 依存関係の管理、SBOM、ビルドパイプラインのセキュリティ：references/a03-supply-chain-failures.md
• A04 Cryptographic Failures — 暗号化、ハッシュ化、鍵管理、TLS、PRNG：references/a04-cryptographic-failures.md
• A05 Injection — SQL、XSS、コマンド、ORM、LDAP、テンプレートインジェクション：references/a05-injection.md
• A06 Insecure Design — 脅威モデリング、ビジネスロジック、セキュア SDLC：references/a06-insecure-design.md
• A07 Authentication Failures — クレデンシャルスタッフィング、MFA、セッション管理、パスワードポリシー：references/a07-authentication-failures.md
• A08 Integrity Failures — デシリアライズ、コード署名、信頼できないソース、CDN の信頼性：references/a08-integrity-failures.md
• A09 Logging & Alerting — 監査証跡、ログインジェクション、アラート、ログ内の機密データ：references/a09-logging-alerting-failures.md
• A10 Exceptional Conditions — エラー処理、フェイルクローズ、リソースのクリーンアップ、情報漏えい：references/a10-exceptional-conditions.md

セキュリティ上の問題を報告する場合は、各問題について [template.md](template.md) のテンプレートを使用します。