OWASP Top10とは？知っておきたいWebアプリケーションの脆弱性と対策について解説

デジタル技術の進歩により、多くの企業がオンラインでのビジネス展開を加速させています。Webサイトやオンラインショップの運営、クラウドサービスの利用など、インターネットを介したビジネス活動は今や必要不可欠です。しかし、このデジタル化に伴いサイバー攻撃のリスクも増大しています。
サイバー攻撃のリスクは大企業だけではなく、中小企業もサイバー攻撃の標的になる可能性があります。攻撃者は「セキュリティ対策が不十分な企業」を狙う傾向があるため、企業規模に関わらず、適切なセキュリティ対策を講じることが重要です。
本コラムでは、Webアプリケーションセキュリティの基本指針となる「OWASP TOP10」について、わかりやすく解説します。

OWASP TOP10とは何か

OWASPとは

OWASP（Open Web Application Security Project：オワスプ）は、Webアプリケーションのセキュリティ向上を目的とした国際的な非営利団体であり、世界中のセキュリティ専門家が参加しています。2001年に設立され、セキュリティに関する様々なプロジェクトを通じて、安全なソフトウェア開発を推進しています。

OWASP TOP10とは

OWASP Top10はOWASPの代表的なプロジェクトの一つです。Webアプリケーションにおける重大なセキュリティリスクを世界中から収集されたデータと専門家の意見を基に10項目にまとめたリストであり、世界中の開発者やセキュリティ専門家に広く参照されています。
現在の最新版は2021年に発表されたものであり、OWASP Top10は約3年ごとに更新され、新たな脅威や攻撃手法の出現に対応しています。 1番目の項目が最も深刻なリスクとされ、10番目に向かうにつれてリスクの重大度は相対的に低くなっていきますが、どの項目も大変重要です。

OWASP Top10の各項目解説

2021年版OWASP Top10の各項目について、簡単に解説します。

• 1. アクセス制御の不備
• 2. 暗号化の失敗
• 3. インジェクション
• 4. 安全でない設計
• 5. セキュリティの設定ミス
• 6. 脆弱で古くなったコンポーネント
• 7. 識別と認証の失敗
• 8. ソフトウェアとデータの整合性の不具合
• 9. セキュリティログとモニタリングの失敗
• 10. サーバーサイドリクエストフォージェリ（SSRF)

（参考：OWASP 　OWASP Top 10:2021）

アクセス制御の不備

「アクセス制御の不備」は、不適切な設計や実装により、未認証のユーザーや権限のないユーザーが制限されたリソースへアクセスできる状態を指します。 その結果として、機密性の高いデータが漏洩したり、不正な変更が加えられたりする可能性があります。
基本的な対策としては、最小限の権限をもとにユーザーのアクセスを厳密に管理し、ロールベースのアクセス制御を実装することが挙げられます。 また、定期的なアクセス権のレビューと更新も重要です。

暗号化の失敗

このリスクは、機密データを保護するための暗号化が適切に施されていない、もしくは全く施されていないケースです。
不十分な暗号化は、攻撃者によるデータ漏洩や改ざん、さらには盗聴やデータベースへの不正アクセスを引き起こす可能性があります。適正な暗号化プロトコルと実装がないと、顧客情報、企業秘密、その他重要なデータが危険に晒されるため、データ保護の観点から暗号化は必要不可欠です。 適切な暗号化方法を施し、その維持管理を徹底することで、セキュリティを大幅に強化しリスクを減少させることが可能です。

インジェクション

「インジェクション」の中でも特に有名なのがSQLインジェクションです。これは悪意のあるコードをデータベースに注入し、不正にデータを操作したり機密情報を抜き取ったりする攻撃手法です。
基本的な防御策としては、入力値の検証やサニタイジング、プリペアドステートメントの実装などが挙げられます。

安全が確認されない不安な設計

「安全が確認されない不安な設計」は、セキュリティを考慮せずに構築されたシステムやアプリケーションのリスクを指します。具体的には、認証や認可の不適切な実装、データの過剰な公開、不十分なエラー処理などが挙げられます。
対策としては、セキュリティバイデザインの考え方のように、初期設計からセキュリティを考慮することが重要です。初期段階からセキュリティを考慮することで、後の修正コストを大幅に削減でき、より安全なシステムを構築することができます。

セキュリティ設定のミス

「セキュリティ設定のミス」は、セキュリティインシデントの主な原因の一つになっています。 一般的なミスとしては、デフォルト設定のまま運用してしまう、不要なサービスを有効化してしまう、そのほかパッチ適用を怠るなどが考えられます。
適切なセキュリティ設定は、システムやアプリケーションが攻撃者に悪用されるリスクを大幅に減少させることができますが、その一方で設定を間違ってしまうとセキュリティを弱めてしまうことになるため注意が必要です。

脆弱で古くなったコンポーネント

「脆弱で古くなったコンポーネント」は、セキュリティパッチが適用されていない、サポートが終了している、古いバージョンのライブラリやフレームワークなどを使用することで発生するリスクを指します。これらの古いコンポーネントには、すでに公開されている脆弱性が存在する可能性が高く、攻撃者に悪用される危険があります。
対策としては、定期的な脆弱性診断やセキュリティアップデートの迅速な適用などが挙げられます。また、自社で利用しているコンポーネントのサポート状況を定期的に確認し、終了することが分かった段階で他のコンポーネントへの切り替えを計画的に進めるなど、システムのセキュリティ強化を図りましょう。

識別と認証の失敗

「識別と認証の失敗」は、不適切に実装された認証プロセスにより、不正なアクセスやアカウントの乗っ取りが可能になるリスクを指します。セキュリティ対策が甘いと、攻撃者はユーザー名やパスワードの推測、セッションハイジャックなどを利用してシステムに侵入することができます。
具体的な対策としては、まず強力なパスワードポリシーの策定と実施が挙げられます。加えて、多要素認証の導入や、不審なログイン試行を検知するアカウント監視機能などが有効です。また、セッション管理を厳格にし、特にセッションIDの再生成や有効期限の管理を徹底することが重要です。

ソフトウェアとデータの整合性の不具合

「ソフトウェアとデータの整合性の不具合」は、アプリケーションが信頼できないソースやリポジトリから提供されているモジュールやソフトウェアの使用することによるリスクを指します。攻撃者はこれらのリスクを悪用して未検証のモジュールやソフトウェアに悪意のあるコードを挿入して、システムを侵害する可能性があります。

セキュリティログとモニタリングの失敗

「セキュリティログとモニタリングの失敗」は、セキュリティ監視、ログ管理、インシデント対応が不十分な状態を指します。これらの失敗は、不正アクセスやデータ漏洩といったセキュリティインシデントを見逃し、または発生後の適切な対応を妨げる原因となります。 例えば、ログの不備により攻撃の事前兆候を検知できなかったり、インシデント発生時の通知や対処が遅れたりすることで被害が拡大することがあります。

サーバサイドリクエストフォージェリ（SSRF)

「サーバサイドリクエストフォージェリ（SSRF）」は、Webアプリケーションがユーザーから送信されたURLを検証せずにリモートのリソースからデータを取得することで発生します。これにより、予期しない内部リソースやシステムにアクセスされてしまい、重要な情報を窃取されたり、システムの不正操作などを行われたりする可能性があります。
基本的な防御策には、ユーザーの入力内容の検証と適切なサニタイジング、アクセス制御の実装、ホワイトリストによるURLフィルタリングなどが考えられます。

中小企業がとるべき基本的な対策

OWASP Top10に挙げられている脆弱性に対処するため、中小企業でも実施可能な基本的な対策を紹介します。

アカウントの適正な管理

アカウント情報が適正に管理されていないと攻撃者に悪用されてしまう可能性が高くなります。以下の内容を参考に適正なアカウント管理を実施しましょう。

• 強力なパスワードの設定
• 他システム等でのパスワードの使い回しを禁止
• デフォルトパスワードからの変更
• 退職者のアカウントを削除
• 多要素認証の導入
• 定期的なアクセス権のレビューと更新

定期的なソフトウェアの更新

Webサーバー、データベース、CMSなど、日ごろ使用しているソフトウェアを常に最新の状態に保つことが重要です。多くのセキュリティ脆弱性は、ソフトウェアの更新で修正されます。具体的な対策としては、定期的にソフトウェアの更新情報をチェックし適用する、サポートが終了したソフトウェアは使用を中止するなどが考えられます。

定期的な脆弱性診断の実施

インターネット上に公開しているシステムや自組織における重要なシステムについては、定期的に脆弱性診断の実施しましょう。専門家による詳細な診断により、見逃していた脆弱性を特定出来る可能性があります。自社が使用している機器やシステムをサイバー攻撃から守るために重要な手段となりますので、検討してみましょう。

従業員教育の重要性

セキュリティ対策は技術的な面だけでなく人的な面も重要です。以下の内容を参考に、定期的なトレーニングやセキュリティに関する情報の共有を行いましょう。

• フィッシング詐欺の見分け方
• 安全なパスワード管理の方法
• 不審なメールや添付ファイルの扱い方
• セキュリティインシデント発生時の報告手順

OWASP Top10と他のセキュリティ基準との関係

OWASP Top10は、他のセキュリティ基準や標準とも密接に関連しています。 特に、CWE（Common Weakness Enumeration）との関連が強く、OWASP Top10の各項目はCWEの特定の脆弱性カテゴリーに対応しています。例えば、「インジェクション」はCWE-79（クロスサイトスクリプティング）やCWE-89（SQLインジェクション）などと関連しています。
また、PCI DSS（Payment Card Industry Data Security Standard）などの業界標準も、OWASP Top10の多くの要素を取り入れています。これらの標準を遵守する際に、OWASP Top10を参照することで、より包括的なセキュリティ対策が可能になります。

まとめ