2022/04/15 OWASP Nagoya Chapter ミーティング 第25回 OWASP TOP 10概要

1. OWASP Nagoya Chapter
OWASP Nagoya Chapter meeting #25
April 15, 2022
OWASP Top 10 - 2021 Overview
isanori.sakanashi@owasp.org
shigeru.inoue@owasp.org

2. Welcome to the OWASP Top 10 - 2021
OWASP Top 10 の最新版へようこそ！
グラフィックデザインもあたらしくなりました。

3. How to use the OWASP Top 10 as a standard
• OWASP Top 10 は、主に「意識向上を目的」とした文書
• アプリケーションセキュリティの「リスク」
• 必ずしも簡単にテストできるものではない
• このドキュメントは出発点であり、最低限コーディングまたはテスト標準と
して使用するものである

4. OWASP Application Security Verification Standard
アプリケーションセキュリティ標準を採用したい場合は、OWASPアプリケー
ションセキュリティ検証標準（ASVS）を使用することをお勧めします。
検証およびテストできるように設計されており、安全な開発ライフサイクルの
すべての部分で使用できます。
参考URL：
https://owasp.org/www-project-application-security-verification-standard/
https://www.jpcert.or.jp/securecoding/materials-owaspasvs.html
How to use the OWASP Top 10 as a standard

5. 2017
2013
2010
2007
2021
Top 10 History
Released
2003, 2004, 2007, 2010, 2013, 2017, 2021

6. PDF・印刷物、各国語翻訳は現在進行中です
September 24, 2021 release
https://www.owasptopten.org/

7. What's changed in the Top 10 for 2021
3つの新しいカテゴリー、4つのカテゴリー名称とスコープの変更、統合されています。

8. List of Mapped CWEs
• Top 10は アプリケーションセキュリティの「リスク」
• CWE（Common Weakness Enumeration）をマッピング
CWE
～脆弱性の種類を識別するための共通の脆弱性タイプの一覧～
https://www.ipa.go.jp/security/vuln/CWE.html

9. A01 アクセス制御の不備
A01:2021-Broken Access Control
Rank Up
注目すべきCWE
CWE-200:認証されていない動作主体への情報露出
CWE-201:送信データを通じた情報露出
CWE-352:クロスサイトリクエストフォージェリ
対応する CWE数：34
(CWEs Mapped)
許可されていない情報の公開、すべてのデータの変更または破壊、またはユーザ制
限から外れたビジネス機能の実行が引き起こされます。

10. A02:2021-Cryptographic Failures
A02 暗号化の失敗
注目すべきCWE
CWE-259:ハードコードされたパスワードの使用
CWE-327:不適切な暗号化アルゴリズム
CWE-331:不十分なエントロピー
対応する CWE数：29
Rank Up
根本的な要因よりも、暗号化技術の不適切な使用、または暗号化の欠如に関連した
幅広い障害に焦点を当てています
平文通信をしない。HTTPやSMTP、FTPはインターネットでは危険
古いまたは危殆化した暗号アルゴリズムを初期設定で使っている
デフォルトの暗号鍵の使用、弱い暗号化鍵を作成または再利用

11. A03:2021-Injection
A03 インジェクション
ユーザからの入力値に対してアプリケーションが検証、フィルタリングまたはサニタイ
ズがされてない為に発生するデータの漏洩、攻撃がされます。
インジェクションの一般的なものとして以下のものがあります。
● SQL, NoSQL
● OSコマンドインジェクション
● ORM、LDAP、式言語（EL：Expression Language）、OGNL
クロスサイトスクリプティング（XSS）はインジェクション含めています。
注目すべきCWE
CWE-79:クロスサイト・スクリプティング
CWE-89:SQLインジェクション
CWE-73:ファイル名やパス名の外部制御
対応する CWE数：33

12. A04:2021-Insecure Design
A04 安全が確認されない不安な設計
NEW
安全でない設計は、さまざまな弱点を表す幅広いカテゴリであり、「制御設計の欠如
または効果がない」と表現されます。 安全な設計には、悪用される可能性のある脆
弱性につながる実装上の欠陥がまだ存在する可能性があります。
注目すべきCWE
CWE-209: エラーメッセージからの情報漏洩
CWE-256: 保護されていない認証情報の保存
CWE-501: 信頼境界線の侵害および
CWE-522: 適切に保護されていないクレデンシャル
対応する CWE数：40

13. A05:2021-Security Misconfiguration
A05 セキュリティの設定ミス
アプリケーションスタックの様々な箇所において適切な強化がされていない、もしくは
クラウドサービス等のプラットフォームにおいて適切に構成されたアクセス設定がされ
ないなどの設定ミスなどによりシステムのリスクがある。
注目すべきCWE
CWE-16 設定の問題
CWE-611 外部に置かれたファイルを呼び出す XXE (Xml eXternal Entity) 問題
対応する CWE数：20
Rank Up

14. A06:2021-Vulnerable and Outdated Components
A06 脆弱で古くなったコンポーネント
使用されているコンポーネントバージョン不明、サポートされてないまたは古くなって
いるため最新の脆弱性対策に対応していないなどの状態が発生した場合、攻撃対象
となるリスクが発生します。基盤となりプラットフォーム、フレームワークがパッチなど
を適用しておらず最新の状態となってい場合も対象となります。
注目すべきCWE
CWE-937 OWASP Top 10 2013 A9: 既知の脆弱性のあるコンポーネントの使用
CWE-1035 2017 Top 10 A9: 既知の脆弱性のあるコンポーネントの使用
CWE-1104 メンテナンスされていないサードパーティー製コンポーネントの使用
対応する CWE数：3
Rank Up

15. A07:2021-Identification and Authentication Failures
A07 識別と認証の失敗
認証関連の攻撃から保護するには、ユーザーのID、認証、およびセッション管理の確
認が重要です。アプリケーションが次の場合、認証の弱点がある可能性があります。
パスワードリストによる攻撃、パスワードがデフォルトのまま、脆弱なパスワードなど
があげられます。HTTPでのパスワード入力、弱いハッシュなども一例です。また、多
要素認証、URLでのセッション識別子が公開されている。
注目すべきCWE
CWE-297:ホストの不一致による証明書の不適切な検証
CWE-287:不適切な認証
CWE-384:セッションの固定化
対応する CWE数：22

16. A08:2021-Software and Data Integrity Failures
A08 ソフトウェアとデータの整合性の不具合
NEW
ソフトウェアとデータの整合性の障害は、整合性違反から保護しないコードとインフラ
ストラクチャに関連しています。安全でないCI/CDパイプラインは、不正アクセス、悪
意のあるコード、またはシステムの侵害の可能性をもたらす可能性があります。オブ
ジェクトまたはデータがエンコードまたはシリアル化されて、攻撃者が確認および変更
できる構造になり、安全でない逆シリアル化に対して脆弱である場合です。
注目すべきCWE
CWE-829: 信頼できない制御領域からの機能の組み込み
CWE-494: ダウンロードしたコードの完全性検証不備
CWE-502: 信頼できないデータのデシリアライゼーション
対応する CWE数：10

17. A09:2021-Security Logging and Monitoring Failures
A09 セキュリティログとモニタリングの失敗
このカテゴリは、アクティブな違反の検出、エスカレーション、および対応を支援するも
のです。 ロギングとモニタリングがなければ、侵害を検知することはできません。 ロ
ギングや検知、モニタリング、適時の対応が十分に行われないという状況は、いつで
も発生します。
ユーザまたは攻撃者がログやアラートのイベントを閲覧できると、情報の漏えいが発
生する可能性があります
注目すべきCWE
CWE-223 セキュリティに関連する情報の省略
CWE-532 ログファイルからの情報漏洩
CWE-778 ロギングの不足
対応する CWE数：4
Rank Up

18. A10:2021-Server-Side Request Forgery
A10 サーバーサイド・リクエスト・フォージェリ
NEW
SSRFの欠陥は、Webアプリケーション上からリモートのリソースを取得する際に、
ユーザーから提供されたURLを検証せずに使用することで発生します。 ファイア
ウォールやVPNあるいはその他の種類のネットワークACLによってアプリケーション
が保護されている場合であっても、SSRFによりアプリケーションに対して意図しない
宛先へ細工されたリクエストを強制的に発行させることができます。
モダンなアプリケーションではエンドユーザーに便利な機能を提供するようになり、ア
プリケーション側でURLを取得することは珍しい状況ではなくなりました。 そのため
SSRFの発生が増加しています。 またSSRFの深刻度も、クラウドサービスやアーキ
テクチャの複雑性を背景として、段々と大きくなりつつあります。
注目すべきCWE
CWE-918 Server-Side Request Forgery (SSRF)
対応する CWE数：1

19. 参考）過去の推移(2003-2010)

20. 参考）過去の推移(2010-2021)

21. A11:2021 – Next Steps
Top10に掲載されなかった「ぎりぎり境界線」のリスク
• ソースコードの品質にかかわる問題
• サービス拒否攻撃(DoS)
• Memory Management Errors

22. https://owasp.org/Top10/
Please bookmark