y8-2017-spring発表資料 OWASP Top 10 2017 RC1

1. OWASP Top 10 2017 RC1について
2017/5/27 y8 2017 in shibuya
@mahoyaya

2. アジェンダ
 自己紹介
 OWASPについて
 OWASP Top 10について
 OWASP Top 10 2013 概要
 OWASP Top 10 2013 詳細（抜粋）
 OWASP Top 10 2017 概要
 OWASP Top 10 2017 変更差分
 OWASPの成果物を活用しよう

3. @mahoyaya
 Name: 一ノ瀬 太樹
 Work : セキュリティエンジニア
 Twitter: @mahoyaya
 blog: http://mahoyaya.hateblo.jp
 GitHub: https://github.com/mahoyaya
 Affiliation:
Perl入学式 東京 サポーター
OWASP Japan プロモーションチーム
脆弱性診断研究会
OWASP ZAP User Group
EGセキュアソリューションズ株式会社
（旧HASHコンサルティング株式会社）
YAPC::Kansai での発表資料はこちら
https://www.slideshare.net/daiicn/owasp-top-10-72778895

4. What is OWASP?
OWASPは安全なソフトウェアの設計・開発・習 得・運用と維持
に関する活動を支援する、非営利の団体。
OWASPのツールやドキュメントなど、すべての成果物は無料で
利用可能。 誰でも参加可能。

5. 国際的なコミュニティ

6. 日本では？
 OWASP Japan 2012.3
 OWASP Kansai 2014.3
 OWASP Kyushu 2015.3
 OWASP Sendai 2016.1
 OWASP Fukushima 2016.2
 OWASP Okinawa 2016.2
 OWASP Natori 2017 <- NEW!
OWASP NightやOWASP DAYといった定期的な勉強会を実施し
ています。

7. どんなプロジェクトがあるの？
現時点で100以上の成果物が公開されています
https://www.owasp.org/index.php/Category:OWASP_Project

8. 工程別に活用可能な資料・ツールの紹介
https://speakerdeck.com/owaspjapan/owasp-contents-reference

9. 日本独自の成果物

10. OWASPの成果物で最も規模が大きい!!CHEAT SHEET SERIES
概要
Builder（開発）、Breaker（テスト）、Defender（運用・保守）を対象にセキュ
リティを高めるための知識／機能を実装するための方法論を紹介
特徴
ドラフト版を含めて2015年10月時点で48ものチートシートが公開され、いずれ
も頻繁に更新されている

11. OWASPの成果物で最も規模が大きい!!CHEAT SHEET SERIES
設計・開発時に活用したいチートシートが多数存在
機能の安全な実装手法や脆弱性への対策などを紹介

12. OWASPの成果物で最も規模が大きい!!CHEAT SHEET SERIES
2016年12月、チートシートシリーズ概要日本語版(2016年版)を公開しました!
「ＪＰＣＥＲＴの資料へのリンク付き」
「ＪＰＣＥＲＴ以降に公開されたチート
シートにも対応」
2016年版では全部で60のチートシートに
なっています。
短縮URL：
https://goo.gl/fNPGwB

13. WEB以外は・・・
 OWASP Mobile Top 10
 https://www.owasp.org/index.php/Mobile_Top_10_2016-Top_10
 OWASP IOT Top 10
 https://www.owasp.org/images/7/71/Internet_of_Things_Top_Ten_2014-OWASP.pdf
 OWASP Embedded Application Security
 https://www.owasp.org/index.php/OWASP_Embedded_Application_Security

14. OWASP Top 10

15. OWASP Top 10とは？
OWASP Top 10 の主要目的は、最も重要なWebアプリケー
ションセキュリティ上の弱点を、開発者、デザイナー、アー
キテクト、 管理者および組織に教育すること。
Top10は、リスクの高い問題に対する基本的な保護手法、お
よび次ステップへのガイダンスを提供します。
OWASP Top 10 2013 日本語版
https://www.owasp.org/images/7/79/OWASP_Top_10_2013_JPN.pdf

16. OWASP Top 10 2017 RC1
https://github.com/OWASP/Top10/raw/master/2017/OWASP%20Top%2010%20-
%202017%20RC1-English.pdf

17. OWASP Top 10 - 2013 概要

18. OWASP Top 10 – 2013 概要
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

19. OWASP Top 10 - 2013 詳細（抜粋）

20. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

21. A1-インジェクション
• 不動の1位である危険な脆弱性
• 多くの場合、信頼境界を越えて送信されるデータをアプ
リケーションがそのまま利用することで起こる
• インジェクションの 問題は、SQLクエリ、LDAPクエリ、
XPathクエリ、NoSQLクエリ、OSコマンド、 プログラム
引数などで発見される
• インジェクションの欠陥は、コードを検査すれば検出が
容易な場合が多い
• memcachedなど外部公開不要なサービスを公開した結
果、直接値を入力されることもあるので注意

22. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

23. A2-認証とセッション管理の不備
• ECサイトなどセッション管理が必要なアプリケーション
でおこる
• ログイン情報の平文送信
• 手作りのセッション管理機能
• セッションIDの漏洩
• アプリケーション機能を利用時の認証状態確認不備
• ログアウト機能の実装不備
• パスワード関連機能の実装不備

24. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

25. A3-クロスサイトスクリプティング（XSS）
• セキュリティエンジニアが大好きな脆弱性（誤
• 信頼境界を越えて入力された値を適切に検証していない、
入力データの中身をエスケープせずにブラウザに送ると
おこる
• 反射型、蓄積型、DOMベースの3種類
• 内部ソースを含め、ほぼ全てのデータソースに攻撃可能
• セッションIDの窃取、コンテンツ改ざん、リダイレクト、
マルウェア感染
• 正規サイトのドメインを利用したフィッシング
• DOMベースはサーバ通信を介さない

26. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

27. A4-安全でないオブジェクトの直接参照
• いわゆる認可制御の不備
• 権限を持たないユーザーが情報を参照したり、機能を実
行したりできる状態
• ユーザーが入力するパラメータを改変することにより、
利用できないはずの機能が利用できてしまうなど

28. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

29. A5-セキュリティ設定のミス
• 脆弱なソフトウェア利用
• HSTSの利用不備
• HTTPアクセス時にリダイレクトしていない
• 不要な機能の有効化
• SSHでのrootログイン、管理画面のアクセス制限
• httpdのディレクトリスティング
• デフォルトのログインアカウント
• フレームワークやライブラリのセキュリティ
• スタックトレースなどエラー情報が表示設定のまま
• サンプルアプリケーションの脆弱性
• セッションIDのURLパラメータ化

30. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

31. A6-機密データの露出
• 機密情報の平文保存
• 危殆化した暗号化術の利用
• 不適切なヘッダ情報
• キャッシュ制御の不備
• バックアップファイル
• wp-config.php.bak, wp-config.php~

32. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

33. A7-機能レベルアクセス制御の欠落
• リクエストに対する適切なアクセス制御処理を実施して
いない
• ログインしていなくても、URLを直打ちすれば機能が
利用できる
• ログインさえしていれば、URLを直打ちしてロールの
制限を超えた機能が利用できる
• ゲストや一般ログインユーザーの不正行為
• 機微情報の閲覧・改ざん、チート行為、不正送金

34. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

35. A8-クロスサイトリクエストフォージェリ（CSRF）
• 攻撃者が被害者になりすまして機能を実行する攻撃
• 偽造したリクエストを被害者のブラウザが持っている情
報を利用して送信させる
• 被害者のブラウザが持っている正規の情報で送信される
ため、受信したサーバ側では攻撃と判断できない（しに
くい）
• 標的型攻撃で使われると厄介
• CSRF脆弱性のあるパスワード変更機能など
• 間接的な攻撃でわかりにくく理解できていない人も多い
• 被害者の操作が必要になるため、危険度は低くなりがち

36. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

37. A9-既知の脆弱性を持つコンポーネントの使用
• 古いバージョンのソフトウェアは大体脆弱性がある
• パッチは新しいものにだけ出る場合が多い
• １つの脆弱なコンポーネントがあることにより、全体が
侵される場合も

38. OWASP Top 10 – 2013
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

39. A10-未検証のリダイレクトとフォワード
• 信頼境界をこえて入ってきた外部入力値をそのまま利用
• hiddenフィールドにURLを埋め込んでいるなど
• 悪意のあるURLに書き換えたリンクに付け替えて罠を設
置できる
• 被害者はフィッシング詐欺やマルウェア感染被害の
恐れがある
• ユーザー入力値の転送先がパラメータ指定されており、
改変によって送信先を変更できる
• 情報漏えい
• 脆弱性を利用されたサイトは風評被害のリスクも

40. OWASP Top 10 – 2013 概要（再掲）
A1 – インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード

41. OWASP Top 10 – 2017 RC1 概要

42. OWASP Top 10 – 2017 RC1 概要

43. OWASP Top 10 – 2017 RC1 概要
OWASP Top 10 2013 OWASP Top 10 2017 RC1
A1 – インジェクション A1 - インジェクション
A2 – 認証とセッション管理の不備 A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS) A3 – クロスサイトスクリプティング(XSS)
A4 – 安全でないオブジェクト直接参照 A4 – アクセスコントロールの不備
A5 – セキュリティ設定のミス A5 – セキュリティ設定のミス
A6 – 機密データの露出 A6 – 機密データの露出
A7 – 機能レベルアクセス制御の欠落 A7 – 不十分な防御機能
A8 – クロスサイトリクエストフォージェリ(CSRF) A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用 A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 未検証のリダイレクトとフォーワード A10 – 保護されていないAPI

44. OWASP Top 10 – 2017 RC1 変更差分

45. OWASP Top 10 – 2017 RC1
A1 - インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – アクセスコントロールの不備
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 不十分な防御機能
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 保護されていないAPI

46. A4-アクセスコントロールの不備
• 2013ではより注意を促すために「A4-安全でないオブジェクト直
接参照」と「A7-機能レベルアクセス制御の欠落」に分割されて
いたが2017RC1で統合された
• アプリケーションやAPIでリクエストに対する適切なアクセス制御
処理を実施していない
• ログインしていなくても、URLを直打ちすれば機能が利用でき
る
• ログインさえしていれば、URLを直打やパラメータを改変した
リクエストをすればロールの制限を超えた機能が利用できる
• URLは容易に推測可能なことが多い
• ゲストや一般ログインユーザーの不正行為
• 機微情報の閲覧・改ざん、チート行為、不正送金

47. A4-アクセスコントロールの不備 対策
• 統一された利用しやすい認可制御モジュールの設計
• 全ての機能で認可制御とそのテストを実施
• 制御メカニズムはデフォルトですべてを拒否し、相応しいロール
を要求
• ユーザーが改変可能なパラメータをオブジェクトの呼び出しに直
接利用しない
• ユーザーがパラメータを改変しても意味がないようにホワイトリ
ストにする
• ドロップダウンリストで番号選択させ、DBで機能とマッピン
グする
• 機能を表示しない設計は緩和策であり、対策ではない

48. OWASP Top 10 – 2017 RC1
A1 - インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – アクセスコントロールの不備
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 不十分な防御機能
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 保護されていないAPI

49. A7-不十分な防御機能
• アプリケーション自体には攻撃への防御機能が不足していると考
えられており、2017RC1で追加された
• アプリケーションやAPIは、攻撃の検出、防止、応答するための基
本的な機能が不足している
• アプリケーションやAPIは、攻撃から保護するためにパッチ適用を
迅速に実施できるようにする必要もある
• WAF、RASP、OWASP AppSensorなどのテクノロジーを使用して、
攻撃を検出またはブロックしたり、脆弱性を仮想的に修正したり
することができる

50. A7-不十分な防御機能 対策

51. A7-不十分な防御機能 私見
• Struts2（S2-045,046）の脆弱性が与えた影響を考えると即時パッ
チ適用を促す点に関しては時代を反映した良カテゴリ
• 仮に即時パッチが適用できていればStruts2の問題も大きな問
題にはならなかった ※実現性は別
• アプリやAPIが攻撃を”検知”できないこと自体は脆弱性ではないの
でここに載るのは変な気がする
• WAFとかRASPでセキュリティ防御機能を補うという対策案が記載
れているが・・・
• 現実問題として即時パッチ適用が難しいので、WAFやIPSなど
を入れろという流れになってしまうのでは？
• OSSだとmod_securityだけど・・・

52. A7-不十分な防御機能 OWASP MLの様子
0
20
40
60
80
100
120
January February March April May
メール件数
メール件数

53. A7-不十分な防御機能 海外の反応（意訳）
• OWASP TOP 10の最新案でA7に「Insufficient Attack Protection」と
かいうエントリが追加されて「攻撃を検出して対処できないこ
と」が重大なリスクとか言い始めててマジヤバイ。
• 攻撃を検出できないのは脆弱性じゃないよ。
• OWASPコミュニティ内の人がとったのアンケートでは、110人の
回答者のうち80％が削除されるべきだって回答してるぜ。
• OWASPのベンダー中立性に深刻な懸念がある。

54. A7-不十分な防御機能 海外の反応（意訳）
• 今すぐすべてのWebアプリケーションにWAF機能を再実装しろっ
てことですか？真面目に考えてください。
• バックグラウンドにあるデータの透明性が問題だ。
• 文字数に制限があるから仕方ないけど、もうちょっと網羅的に書
いたほうがいいのでは？
• 不正な入力検証
• アプリケーションの更新/修正のサポートが不十分
• 不十分なログまたはレポート
• レート制限の欠如

55. OWASP Top 10 – 2017 RC1
A1 - インジェクション
A2 – 認証とセッション管理の不備
A3 – クロスサイトスクリプティング(XSS)
A4 – アクセスコントロールの不備
A5 – セキュリティ設定のミス
A6 – 機密データの露出
A7 – 不十分な防御機能
A8 – クロスサイトリクエストフォージェリ(CSRF)
A9 – 既知の脆弱性を持つコンポーネントの使用
A10 – 保護されていないAPI

56. A10-保護されていないAPI
• 近年のアプリケーションはAPI接続が行われることがよくあるが、
適切に保護されずに脆弱性が存在していることが多い
• APIに対しても従来のWebアプリケーションに対する脆弱性テス
トと同様にテストを実施する必要がある
• API向けの外部入力値がエスケープされずに利用されており
SQLインジェクションが発生
• リクエストパラメータの改変で別のユーザーになりすまし
• APIはプログラムが利用するように設計されるため、複雑なプロト
コルやデータ構造になりがち
• Swagger（OpenAPI）、REST、JSON、XMLなど、広く使用されて
いるフォーマットを使用することが良い
• 複雑なAPI仕様は、効果的なセキュリティテストやその自動化を困
難に！！

57. A10-保護されていないAPI 対策
• クライアントとAPI間の通信は暗号化
• API通信の認証機能が強固であること
• すべての資格証明、鍵、トークンが保護されていること
• パーサーが攻撃に対して強固であること
• リクエストのデータフォーマットに何を利用しているか
• APIの不正呼び出しを防止するためのアクセス制御方式を実装
• すべてのフォームでインジェクションに対して防護されているか
• これらの攻撃は通常のアプリケーション同様に実行可能
• すべてのAPIでテストを実施

58. OWASP Top 10のランキングに載ってい
るものが全てではない！

59. 今のところランク外のリスクたち
• Clickjacking (CAPEC-103)
• Denial of Service (CWE-400) (Was 2004 Top 10 – Entry 2004-A9)
• Deserialization of Untrusted Data (CWE-502) For defenses, see: OWASP
Deserialization Cheat Sheet
• Expression Language Injection (CWE-917)
• Information Leakage (CWE-209) and Improper Error Handling (CWE-388) (Was
part of 2007 Top 10 – Entry 2007-A6)
• Hotlinking Third Party Content (CWE-829)
• Malicious File Execution (CWE-434) (Was 2007 Top 10 – Entry 2007-A3)
• Mass Assignment (CWE-915)
• Server-Side Request Forgery (SSRF) (CWE-918)
• Unvalidated Redirects and Forwards (CWE-601) (Was 2013 Top 10 – Entry 2013-
A10)
• User Privacy (CWE-359)

60. ということで

61. OWASPの成果物を活用しよう
• セキュアなアプリケーション開発には反復可能なセキュ
リティプロセスと標準セキュリティ制御の確立が重要
• 要件定義にOWASP ASVSの活用
• 設計にOWASP Cheat Sheet
• フレームワークのセキュリティ機能を最大限に活用
• セキュアな開発ライフサイクルのスコアリングフ
レームワークにOpenSAMM
• ペネトレにOWASP Testing Guide

62. ありがとうございました