2018 OWASP Akita ミーティング 2

1. OWASPのドキュメントや
ツールを知ろう
2018/1/17(Wed)
OWASP Kyushu Chapter Leader
Yuichi HATTORI

2. はじめに
• Webアプリケーションのセキュリティに役立つ
OWASPの代表的なプロジェクトの
ドキュメントやツールの紹介します。
– OWASPで、進められているプロジェクトは93以上！

3. プロジェクトの種類
• Flagship Projects
– OWASPの戦略的価値とアプリケーションセキュリティ
全体を実証したプロジェクト（審査あり）
• Labs Projects
– 価値のある成果物を生み出したプロジェクト
• Incubator Projects
– アイディアが実証中で開発が進められているプロジェク
ト

4. プロジェクトの種類
• Low Activity Projects
– 少なくとも一年間リリースなかったプロジェクト
• Donated Projects
– OWASP Projectsのインフラストラクチャに寄付され
た活動のないプロジェクト
• OWASP Archived Projects
– OWASPの外で開発されたプロジェクトおよび活動し
なくなったプロジェクト

5. Flagship Projects(Tools)
• OWASP Zed Attack Proxy
• OWASP Web Testing Environment
Project
• OWASP OWTF
• OWASP Dependency Check
• OWASP Security Shepherd

6. OWASP Zed Attack Proxy
• OWASP ZAPは、無料で使えるオープンソース
のウェブアプリケーション脆弱性診断ツールです。
• 日本に対応してます。
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

7. Flagship Projects(Code)
• OWASP ModSecurity Core Rule Set
Project
• OWASP CSRFGuard Project
• OWASP AppSensor Project

8. OWASP ModSecurity Core Rule Set
• Webアプリケーションに対する攻撃の第一の防衛線
• ModSecurityまたは互換性のあるWebアプリ
ケーションファイアウォールで使用する一般的な攻
撃検出ルールのセット
https://coreruleset.org/

9. Flagship Projects(Doc)
• OWASP Application Security
Verification Standard Project
• OWASP Software Assurance Maturity
Model (SAMM)
• OWASP AppSensor Project
• OWASP Top Ten Project
• OWASP Testing Project

10. OWASP Application Security
Verification Standard Project
• アプリケーションセキュリティ検証標準プロジェクト
• Webアプリケーションセキュリティ検査・検証を実施する際に用いるため、
– 検査対象範囲
– 厳密さのレベル
• を整理し標準化すること
• ASVSは、アプリケーションの技術的な
セキュリティコントロールに加え、環境面での
技術的なセキュリティのコントロールをテスト
基準も提供

11. OWASP Top Ten Project
• OWASP Top 10はWebアプリケーションセキュリ
ティのための非常に重要なドキュメントです。
– 主に、アプリケーションセキュリティを専門とする企業から寄せられた40以上
のデータと、500人以上の個々の人々による業界調査に基づいて作られ
ています。
• 日本語版も公開されています。
– https://www.owasp.org/images/2/23/O
WASP_Top_10-2017%28ja%29.pdf

12. OWASP Top 10 - 2017
A1:2017- インジェクション
A2:2017- 認証の不備
A3:2017- 機密情報の露出
A4:2017- XML外部エンティティ参照(XXE)
A5:2017- アクセス制御の不備
A6:2017- 不適切なセキュリティ設定
A7:2017- クロスサイトスクリプティング(XSS)
A8:2017- 安全でないデシリアライゼーション
A9:2017- 既知の脆弱性のあるコンポーネントの利用
A10:2017- 不十分なロギングとモニタリング

13. Labs Projects(Tools)
• O-Saft
• OWASP Dependency Track Project
• OWASP EnDe Project
• OWASP Hackademic Challenges Project
• OWASP Mantra Security Framework
• OWASP Mobile Security Project
• OWASP O2 Platform
• OWASP Passfault
• OWASP Security Ninjas Appsec Training Program
• OWASP WebGoat Project
• OWASP Xenotix XSS Exploit Framework
• OWASP Code Pulse Project
• OWASP SeraphimDroid Project
• OWASP DefectDojo Project
• OWASP Security Knowledge Framework
• OWASP Juice Shop Project

14. OWASP Web Goat Project
• Webアプリケーションのセキュリティを学び、
脆弱性を体験することが可能なWebアプリケー
ション

15. デモ

16. OWASP Juice Shop Project
• JavaScript製のトレーニングツール
• 簡単にインストールできる
• これ単体でCTFもできる

17. デモ

18. Labs Projects(Doc)
• OWASP Application Security Guide For CISOs
• OWASP Cheat Sheets Project
• OWASP CISO Survey
• OWASP Code Review Guide Project
• OWASP Codes of Conduct
• OWASP Cornucopia
• OWASP Guide Project
• OWASP Podcast Project
• OWASP Proactive Controls
• OWASP Reverse Engineering and Code Modification Prevention
Project
• OWASP Automated Threats to Web Applications
• OWASP Internet of Things Top Ten Project
• OWASP Top 10 Privacy Risks Project
• OWASP Snakes and Ladders Project

19. OWASP Cheat Sheets Project
• いろいろなWebアプリケーションのセキュリティに関
しての重要な情報を簡潔にまとめたもの

20. OWASP Internet of Things
Project
• OWASP Internet of Things Projectは、製造者、開発者、消費者に対
してIoTに関連したセキュリティ問題のよりよい理解を助け、また、あらゆる状況
でユーザにIoTテクノロジーを用いた開発、構築、評価を正しいセキュリティの決
断を出来るようにするプロジェクトです。
• 提供しているもの
– IoT Attack Surface Areas
– IoT Testing Guides
– Top IoT Vulnerabilities
– IoT Security Guidance
– Community Groups
– Curated IoT Reading List
– Developer Guidance
– Design Principles

21. Top 10 IoT Vulnerabilities
(2014)
I1 安全でないWebインタフェース
I2 不十分な認証/許可
I3 安全でないネットワークサービス
I4 暗号化通信の欠乏
I5 プライバシーの懸念
I6 安全でないクラウドインタフェース
I7 安全でないモバイルインタフェース
I8 不十分なセキュリティの環境設定
I9 安全でないソフトウェア/ファームウェア
I10 不十分な物理セキュリティ
https://www.owasp.org/index.php/Top_10_IoT_Vulnerabilities_%282014%29

22. OWASP Top 10 Privacy Risks
Project
• Webアプリケーションにおける
プライバシーリスクと
それに関連する対策の
トップ10

23. OWASP Top 10 Privacy Risks
Project
P1 Webアプリケーションの脆弱性
P2 オペレータ側の情報漏洩
P3 不十分な情報漏洩の対応
P4 不十分な個人情報の削除
P5 不透明なポリシーと利用規約
P6 必要ないデータの収集
P7 サードパーティへのデータの共有
P8 古くなった個人情報
P9 セッションの有効期限の不足か不十分
P10 安全でないデータ転送

24. Labs Projects(Contests)
• OWASP University Challenge
– 大規模なAppSecカンファレンスで実施される大学
生向けの競技
• OWASP CTF Project
– AppSecなどでCTFを行っていたプロジェクト
– 2014年で更新が止まっている

25. Labs Projects(Code)
• OWASP Enterprise Security API
• OWASP Python Security Project
• OWASP Security Logging Project

26. Incubator Projects(Code)
• OWASP Java Encoder Project
• OWASP Java HTML Sanitizer Project
• OWASP Node.js Goat Project
• OWASP Mth3l3m3nt Framework Project
• OWASP CSRFProtector Project
• OWASP WebGoat PHP Project
• OWASP Secure Headers Project
• OWASP Vicnum Projct
• OWASP DeepViolet TLS/SSL_Scanner
• OWASP Off the record 4 Java Project
• OWASP Learning Gateway Project

27. Incubator Projects(Tools)
• OWASP Benchmark
• OWASP Wordpress Vulnerability Scanner
• OWASP Threat Dragon
• OWASP Faux Bank Project
• OWASP Droid
• WAP Web Application_Protection
• OWASP Mutillidae 2 Project
• OWASP WebSpa Project
• OWASP Pyttacker Project
• OWASP Rainbow Maker Project
• OWASP ZSC Tool Project
• OWASP_Web Malware Scanner Project
• OWASP Basic Expression Lexicon Variation Algorithms (Belva) Project]
• OWASP VBScan
• OWASP Appsec PipelineOWASP Bug Logging Tool
• OWASP iGoat Tool Project
• OWASP Risk Rating Management
• OWASP DevSlop Project
• OWASP SecurityRAT Project

28. Incubator Projects(Doc)
• OWASP Vulnerable Web Applications Directory Project
• OWASP .NET Project
• OWASP WASC Web Hacking Incidents Database Project
• OWASP Incident Response Project
• OWASP KALP Mobile Project
• OWSP_Application_Security_Program_Quick_Start_Guide_Project
• OWASP_Secure_Configuration_Guide
• OWASP Knowledge Based Authentication Performance Metrics Project
• OWASP RFP Criteria
• OWASP Web Mapper Project
• OWASP 10 Fuer Entwickler
• WASC_OWASP_Web_Application_Firewall_Evaluation_Criteria_Project
• OWASP_Secure_Software_Development_Lifecycle_Project
• OWASP Mobile Security Testing Guide
• OWASP Ransomeware Guide Project
• OWASP Cyber Defense Matrix
• OWASP Top 5 Machine Learning Risks
• OWASP Security Operations Center SOC Framework Project

29. Incubator Projects
(Educational Initiatives)
• OWASP Student Chapters Project
• OWASP Education Project
• OWASP Speakers Project
• OWASP Media Project
• OWASP PHP Security Training Project
• OWASP Online Academy

30. OWASP Online Academy
• オンライン上で、セキュア開発とWebアプリケーション検査を学べる
プロジェクト
• 携帯端末でも観ることできることを目標に開発が進められている
https://owasp-academy.teachable.com/

31. 補足
• OWASPの成果物はOWASPProjectPageに
纏められているので、合わせてご確認ください。
• https://www.owasp.org/index.php/Ca
tegory:OWASP_Project

32. Thanks!
Do you have
any question or comment?