web-security-review

Web セキュリティレビュー（OWASP Top 10）

plays/owasp-top10-web-review.md の全手順に従って、Web アプリケーションを OWASP Top 10 の全 10 項目のリスクに照らしてレビューします。

手順

1. アプリケーションのマッピング — フレームワーク／言語、デプロイモデル（モノリス／マイクロサービス）、信頼境界（インターネット／内部／ローカル）、データの機密性（PII、金融、医療）、認証メカニズムを特定します。

2. OWASP Top 10 の各リスクの評価:

   • A01 アクセス制御の不備 — 認可チェックの欠如、IDOR、権限昇格、パストラバーサル、CORS の設定ミス
   • A02 暗号化の失敗 — 脆弱なアルゴリズム、TLS の欠如、キーのハードコード、不適切なキー管理、平文での保存
   • A03 インジェクション — SQLi、NoSQLi、OS コマンドインジェクション、LDAP インジェクション、XSS、SSTI、XPath インジェクション
   • A04 安全でない設計 — セキュリティ要件の欠如、ビジネスロジックの欠陥、安全でないワークフロー、脅威モデリングの不足
   • A05 セキュリティ設定のミス — デフォルト設定、詳細すぎるエラー、不足しているヘッダー、不要な機能、古いコンポーネント
   • A06 脆弱なコンポーネント — パッチ未適用のライブラリ、サポートされていない依存関係、インベントリの不備、SBOM の欠如
   • A07 識別と認証の失敗 — 脆弱なパスワード、セッションの問題、MFA の不足、クレデンシャルスタッフィング、ブルートフォース攻撃
   • A08 ソフトウェアとデータの整合性の失敗 — 安全でないデシリアライズ、署名されていない更新、CI/CD 攻撃、依存関係の混乱
   • A09 セキュリティログとモニタリングの失敗 — 監査ログの欠如、不十分なモニタリング、インシデント対応能力の欠如
   • A10 サーバーサイドリクエストフォージェリ（SSRF） — 検証されていない URL パラメーター、内部サービスへのアクセス、クラウドメタデータエンドポイント

3. フレームワーク固有の分析 — 検出されたフレームワーク（React、Angular、Vue、Express、Django、Flask、Rails、Spring、ASP.NET、Laravel）に応じたチェックを適用します。

4. 設定レビュー — Web サーバーの設定（nginx、Apache）、アプリケーションの設定、デプロイマニフェストのセキュリティ設定を確認します。

出力

アプリケーションの概要、深刻度／ステータスを含む全 10 カテゴリーのリスクマトリックス、templates/finding.md を使用した詳細な検出事項、確認された有効なセキュリティ対策、優先順位を付けた修正ロードマップ。

OWASP の参考資料

• Web アプリケーション向け OWASP Top 10（2021）
• OWASP ASVS v5.0 — アプリケーションセキュリティ検証標準
• OWASP Testing Guide（WSTG）
• OWASP Cheat Sheet Series