OWASP Top 10 2021

1. アクセス制御の不備（A01:2021）

以前はリストの5位であったアクセス制御の不備（攻撃者がユーザー・アカウントへのアクセスに利用できる脆弱性）が、2021年には1位になりました。この脆弱性は、攻撃者がユーザーまたは管理者としてシステムを操作することを可能にします。

例：アプリケーションでプライマリ・キーを変更できる場合。キーを別のユーザーのレコードに変更すると、そのユーザーのアカウントを表示または変更できます。

ソリューション: Seeker^®などのインタラクティブ・アプリケーション・セキュリティ・テスト（IAST）ソリューションを利用すると、クロスサイト・リクエスト・フォージェリや、機密データが保存されているストレージのセキュリティの不備を容易に検出できます。また、JSON Webトークンの処理に使用されている不正なロジックやロジックの欠落も特定できます。ペネトレーション・テストは、IASTアクティビティを補完して、意図しないアクセス制御を手動で検出します。データ・アクセスの信頼境界を設けることで、アーキテクチャと設計の変更を保証することができます。

3. インジェクション（A03:2021）

インジェクションは1位から3位に下がり、クロスサイト・スクリプティングはこのカテゴリに分類されるようになりました。コード・インジェクションは、攻撃者がアプリケーションに意図しない操作を実行させるために無効なデータをWebアプリケーションに送信したときに発生します。

例：アプリケーションが信頼できないデータを使用して脆弱なSQL呼び出しを作成した場合。

ソリューション：継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインにSASTツールとIASTツールを含めることで、静的コード・レベルのテストとアプリケーション実行中の動的テストにより、インジェクションを引き起こす可能性がある欠陥を特定できます。Seekerなどのモダン・アプリケーション・セキュリティ・テスト（AST）ツールでは、さまざまなテスト段階でソフトウェア・アプリケーションを保護し、SQLインジェクションを含むさまざまなインジェクション攻撃をチェックすることができます。識別できるインジェクションの例として、NoSQLインジェクション、コマンド・インジェクション、LDAPインジェクション、テンプレート・インジェクション、ログ・インジェクションが挙げられます。Seekerは、Log4Shellの脆弱性を検出するための新しい専用チェッカーを備えた最初のツールであり、Log4Jの設定方法を確認し、実際の動作をテストして、その結果を特許取得済みのActive Verificationエンジンで検証（または無効化）します。 

4. 安全が確認されない不安な設計（A04:2021）

安全が確認されない不安な設計は、2021年に新設されたカテゴリで、設計上の欠陥に関連するリスクに焦点を当てています。組織の「シフトレフト」が進む中、脅威モデリング、安全な設計パターンと原則、参照アーキテクチャだけでは不十分です。

例：ある映画館チェーンでは団体予約割引を提供しており、15名以下の場合は保証金が不要です。攻撃者がこのフローを脅威モデル化し、この映画館チェーンの複数の映画館にわたって数百席の予約が取れるかどうかを調べれば、何千ドルもの損失を引き起こすことができます。

ソリューション：Seeker IASTにより脆弱性を検出し、極めて複雑なWeb、クラウド、マイクロサービス・ベースのアプリケーションのすべてのインバウンドおよびアウトバウンドAPI、サービス、関数呼び出しを公開します。関連するデータフローとエンドポイントのマップを視覚化することにより、アプリケーション設計の弱点を明確にし、ペネトレーション・テストと脅威モデリングの取り組みを支援します。

5. セキュリティの設定ミス（A05:2021）

以前の外部実体カテゴリからこのリスク・カテゴリに分類が変更され、6位から順位が上昇しています。セキュリティの設定ミスとは、設計または構成の弱点が設定エラーまたは欠点に起因する場合を指します。

例：デフォルトのアカウントとその元のパスワードが引き続き有効になっているため、システムが侵入に対して脆弱になる場合。

ソリューション：Coverity SASTなどのソリューションには、エラー・メッセージを通じて情報漏えいの可能性を識別するチェッカーが含まれています。Seeker IASTなどの動的ツールを利用することにより、アプリケーションのランタイム・テストで情報の漏えいや不適切なHTTPヘッダー設定を検出できます。 

6. 脆弱で古くなったコンポーネント（A06:2021）

このカテゴリは既知のセキュリティ・リスクおよび潜在的なセキュリティ・リスクをもたらすコンポーネントに関連するもので、9位から順位が上がっています。CVEなどの既知の脆弱性が存在するコンポーネントは、特定してパッチを適用する必要がありますが、古いコンポーネントや悪意のあるコンポーネントは、実行可能性と潜在的なリスクを評価する必要があります。

例：開発で使用されるコンポーネントの量が多いため、開発チームが、アプリケーションで使用されるすべてのコンポーネントを把握または理解していない場合。これにより、一部のコンポーネントが古くなり、攻撃に対して脆弱になる可能性があります。

ソリューション：Black Duckなどのソフトウェア・コンポジション解析（SCA）ツールを静的解析およびIASTと一緒に使用すると、アプリケーション内の古く安全でないコンポーネントを識別および検出することができます。IASTとSCAの連携により、脆弱なコンポーネントや古いコンポーネントの実際の使用状況を把握できます。Seeker IASTとBlack Duck SCAを連携させることで、脆弱なコンポーネントを特定し、そのコンポーネントがテスト対象のアプリケーションで現在読み込まれているかどうかなどの詳細を明らかにします。さらに、開発者のアクティビティ、コントリビューターの評価、バージョン履歴などの指標により、古いコンポーネントや悪意のあるコンポーネントがもたらす可能性のある潜在的なリスクをユーザーに知らせることができます。

7. 識別と認証の失敗（A07:2021）

以前は「認証の不備」と呼ばれていたこのカテゴリは、2位から順位が下がり、現在は識別の失敗に関するCWEが含まれるようになりました。具体的には、認証とセッション管理に関連する機能が正しく実装されていない場合、攻撃者はパスワード、キーワード、およびセッションを侵害することが可能になります。これによりユーザーIDなどの情報が盗まれる可能性が生じます。

例：Webアプリケーションで、弱いパスワードまたは推測しやすいパスワード（「password1」など）が使用できる場合。

ソリューション：多要素認証によってアカウント侵害のリスクを低減することができます。この種の欠陥を見つけるには自動統計解析が非常に役立ちますが、手動統計解析はカスタム認証スキームの評価を強化することができます。Coverity SASTには、認証の不備の脆弱性を具体的に特定するチェッカーが含まれています。Seeker IASTは、ハードコードされたパスワードや資格情報、および不適切な認証や重要なステップが欠落した認証を検出できます。

8. ソフトウェアとデータの整合性の不具合（A08:2021）

2021年に新設されたカテゴリ。整合性を検証せずに使用されるソフトウェア更新プログラム、重要なデータ、CI/CDパイプラインに焦点を当てています。現在このカテゴリに分類されている、安全でないデシリアライゼーションとは、デシリアライゼーションの欠陥により、攻撃者がシステム内のコードをリモートで実行できる脆弱性を指します。

例：アプリケーションが、攻撃者によって提供された悪意のあるオブジェクトをデシリアライズすることにより脆弱になる場合。

ソリューション：アプリケーション・セキュリティ・ツールはデシリアライゼーションの欠陥を検出するのに役立ち、ペネトレーション・テストは問題を検証するために使用できます。Seeker IASTは、安全でないデシリアライゼーションをチェックし、安全でないリダイレクトやトークン・アクセス・アルゴリズムの改ざんを検出するためにも役立ちます。

9. セキュリティ・ログとモニタリングの失敗（A09:2021）

このカテゴリは、以前は「不十分なログ記録と監視」と呼ばれていましたが、対象となる不具合の種類が拡張され、10位から順位が上がりました。ロギングとモニタリングはWebサイトに対して頻繁に実行する必要のあるアクティビティであり、不備があれば、サイトはより深刻な侵害アクティビティに対して脆弱になります。

例：ログイン、ログインの失敗、その他の重要なアクティビティなど、監査可能なイベントがログに記録されないため、アプリケーションが脆弱になる場合。

ソリューション：ペネトレーション・テストを実行した後、テスト・ログを調べて、考えられる欠点と脆弱性を特定できます。Coverity SASTとSeeker IASTは、ログに記録されないセキュリティ例外の特定に役立ちます。 

10. サーバーサイド・リクエスト・フォージェリ（A10:2021）

サーバーサイド・リクエスト・フォージェリ（SSRF）は、今年新設されたカテゴリであり、Webアプリケーションがユーザーから提供されたURLを検証せずにリモート・リソースを取得したときに発生する可能性があります。システムがファイアウォール、VPN、または追加のネットワークアクセス制御リストによって保護されている場合でも、攻撃者は、この脆弱性を利用して、アプリケーションに細工したリクエストを予期しない宛先に送信することができます。クラウドサービスの利用やアーキテクチャの複雑化により、SSRF攻撃の深刻度と発生率が高まっています。

例：ネットワーク・アーキテクチャがセグメント化されていない場合、攻撃者はSSRFペイロードの接続結果や、接続または拒否されるまでにかかった時間をもとに内部ネットワークをマッピングし、内部サーバーのポートが開いているか閉じているかを調べます。

ソリューション：Seekerは、追加のスキャンやトリアージを必要とせずにSSRFを追跡、監視、検出できる最新のASTツールです。高度なインストルメンテーションとエージェントベースのテクノロジーにより、SSRFから潜在的なエクスプロイトを洗い出すこともできます。