トップ
OWASPとは
OWASPは、Webアプリのセキュリティ課題の解決を目的にした国際的なコミュニティです。脆弱性診断ツールのZAPやOWASP TOP 10のセキュリティ観点が有名です。
国際的なセキュリティ関連のコミュニティです。
ウェブアプリケーションのセキュリティを対象としたコミュニティです。
正式名は、The Open Web Application Security Projectです。
OWASPはこの略です。
信頼できるアプリケーションの開発・購入・運用の推進をOWASPは目的にしています。
これを目的とするオープンなコミュニティです。
OWASPでは、ツール、文書、フォーラム、憲章などが定義されています。 いずれも無料で入手できます。
詳しくはOWASPのページ(https://www.owasp.org/index.php/Main_Page)参照。
OWASPは、ウェブアプリケーションに影響を与える10種類のよくある脆弱性をまとめ、OWASP TOP 10としてリストを公開しています。
OWASPがまとめたセキュリティ観点、2013版のTop 10です。
以下は、2013版のOWASP TOP 10の参考資料です。
https://www.owasp.org/images/7/79/OWASP_Top_10_2013_JPN.pdf
この資料の内容を踏まえて、以下で補足していきます。
ウェブアプリケーションが外部システムやOSにアクセスするときは何らかのパラメータを渡すのが普通です。 攻撃者に不正なコマンドなどをパラメータに埋め込んまれると不正なコマンドが実行されてしまいます。
ログインの結果やセッション情報が適切に保護されていない状態です。 攻撃者はパスワード、鍵、Cookieやその他のトークンを盗みだすことができ、認証の仕組みを無効化して他のユーザーに成り済ませるようになります。
ウェブアプリケーションが入力データを受け取るときに、改ざんに使用できる文字をチェックしなかったり、エスケープしないでユーザー側のブラウザに送信してしまう欠陥がXSSです。
もしファイルやディレクトリ、データベースのキーなどの内部の参照情報が流出してしまった場合、 攻撃者はこれらの参照情報を用い、アクセス権限のないデータへアクセスすることができます。
製品の設定パラメータを把握しないでデフォルトの設定を使用してしまうとそれが脆弱性になりえます。 たとえば、検索エンジンにIndex ofページが登録されてしまったり、http://ドメイン名/error/noindex.htmlでApacheのページが見れてしまうウェブサイトを見かけることがあります。
個人情報や認証情報などを適切に保護せずに露出することです。 たとえば、https://~でブラウザに表示されないお問い合わせフォームやログイン画面など、バケツリレーとなる通信経路でSSL証明書で暗号化していないデータは盗聴されます。
ブラウザ側の画面の画面で入力チェックを行っても入力チェック後のリクエストを直接偽造してサーバ側を攻撃されることがあります。 ブラウザ側でJavaScriptで入力チェックとサーバ側のプログラムで再度同じ入力チェック、データベースアクセス時の同等のチェックなど機能毎のチェックは必要不可欠です。
CSRFは、別のサイトに用意したコンテンツ上の罠のリンクを踏ませること等をきっかけとして、インターネットショッピングの最終決済や退会等Webアプリケーションの重要な処理を実行するようにユーザを誘導する攻撃です。 たとえば、決済画面を表示してyahooを閲覧した後にまた同じ決済画面が表示できるようなオンラインショップは対策されていないので被害に遭う可能性があります。
ソフトウェアやCMSやライブラリ、フレームワークを最新化しなかったり、できなくて脆弱性があるものを使用することです。 これらはサーバ―上の大きな権限を持って実行されることが多く、悪用されると影響も大きいです。
ウェブアプリケーションは、頻繁にユーザを他の画面やウェブサイトへリダイレクト・フォーワードしますが、信頼されていないデータを用いて、転送先画面を決定しています。 適切な検証がないと、攻撃者は被害者をフィッシングサイトやマルウェアサイトへリダイレクトできたり、フォーワードで閲覧権限のない画面へアクセスできます。
OWASPが提供している、Webサイトの脆弱性を診断するためのぺネトレーションテストツールです。
オープンソースで、無料で使用できます。
OWASPの日本版のコミュニティーです。
Copyright (C) 2015-2023 名科辞典. All Rights Reserved. Loarding…