ストーリー

OWASP Top 10 — 最も警戒すべきWebアプリケーションの脅威

OWASP（Open Worldwide Application Security Project）は、Webアプリケーションのセキュリティリスクを定期的にランキングしています。

OWASP Top 10 (2021)

// A01: アクセス制御の不備 -- 脆弱なコード例
app.get('/api/users/:id/profile', async (req, res) => {
  // 危険: 認可チェックなし -- 誰でも他人のプロフィールを取得できる
  const user = await userRepository.findById(req.params.id);
  res.json(user);
});

// 修正版: 認可チェックを追加
app.get('/api/users/:id/profile', authenticate, async (req, res) => {
  const requestedUserId = req.params.id;
  const currentUserId = req.user.id;

  // 自分自身または管理者のみアクセス可能
  if (requestedUserId !== currentUserId && !req.user.roles.includes('admin')) {
    return res.status(403).json({ error: 'Forbidden' });
  }

  const user = await userRepository.findById(requestedUserId);
  res.json(user);
});

最新の攻撃トレンド

サプライチェーン攻撃

サプライチェーン攻撃は、ソフトウェアの依存関係やビルドプロセスを狙った攻撃です。

// package.json の依存関係を検証するスクリプト例
import { execSync } from 'child_process';
import * as fs from 'fs';

interface AuditResult {
  vulnerabilities: {
    [severity: string]: number;
  };
}

function checkDependencySecurity(): void {
  // npm audit で脆弱性をチェック
  const auditOutput = execSync('npm audit --json', { encoding: 'utf-8' });
  const audit: AuditResult = JSON.parse(auditOutput);

  const criticalCount = audit.vulnerabilities['critical'] ?? 0;
  const highCount = audit.vulnerabilities['high'] ?? 0;

  if (criticalCount > 0 || highCount > 0) {
    console.error(`重大な脆弱性が検出されました: Critical=${criticalCount}, High=${highCount}`);
    process.exit(1);
  }

  console.log('依存関係のセキュリティチェック: OK');
}

ゼロデイ脆弱性

ゼロデイ脆弱性は、ベンダーやセキュリティコミュニティが認識する前に悪用される脆弱性です。

ランサムウェアとデータ漏洩

脅威ランドスケープの全体像

graph TD
    Title["脅威ランドスケープ"]
    Title --- External["外部脅威<br/>・標的型攻撃<br/>・DDoS攻撃<br/>・フィッシング<br/>・ランサムウェア<br/>・ゼロデイ"]
    Title --- Internal["内部脅威<br/>・内部不正<br/>・設定ミス<br/>・権限の乱用<br/>・シャドーIT<br/>・退職者リスク"]
    Title --- Supply["サプライチェーン脅威<br/>・依存ライブラリの脆弱性<br/>・ビルドパイプラインの侵害<br/>・サードパーティサービスの侵害<br/>・OSS汚染<br/>・コンテナイメージの改ざん"]

    classDef title fill:#1a1a2e,stroke:#e94560,color:#fff
    classDef external fill:#e94560,stroke:#e94560,color:#fff
    classDef internal fill:#f5a623,stroke:#f5a623,color:#fff
    classDef supply fill:#0f3460,stroke:#0f3460,color:#fff

    class Title title
    class External external
    class Internal internal
    class Supply supply

脅威アクターの分類

セキュリティの基本原則：CIA + AAA

CIAトライアド

AAA（認証・認可・監査）

// CIA + AAA を意識したAPIミドルウェアの例
import { Request, Response, NextFunction } from 'express';

// 認証（Authentication）: JWTトークンの検証
function authenticate(req: Request, res: Response, next: NextFunction): void {
  const token = req.headers.authorization?.replace('Bearer ', '');
  if (!token) {
    res.status(401).json({ error: 'Authentication required' });
    return;
  }
  try {
    req.user = verifyJwt(token);
    next();
  } catch {
    res.status(401).json({ error: 'Invalid token' });
  }
}

// 認可（Authorization）: ロールベースのアクセス制御
function authorize(...requiredRoles: string[]) {
  return (req: Request, res: Response, next: NextFunction): void => {
    const userRoles = req.user?.roles ?? [];
    const hasRole = requiredRoles.some(role => userRoles.includes(role));
    if (!hasRole) {
      res.status(403).json({ error: 'Insufficient permissions' });
      return;
    }
    next();
  };
}

// 監査（Auditing）: アクセスログの記録
function audit(req: Request, res: Response, next: NextFunction): void {
  const logEntry = {
    timestamp: new Date().toISOString(),
    userId: req.user?.id ?? 'anonymous',
    method: req.method,
    path: req.path,
    ip: req.ip,
    userAgent: req.headers['user-agent'],
  };
  securityLogger.info('API_ACCESS', logEntry);
  next();
}

まとめ

チェックリスト

• OWASP Top 10の各カテゴリを理解した
• サプライチェーン攻撃の手法と対策を把握した
• ゼロデイ脆弱性の特徴と多層防御の重要性を理解した
• CIAトライアドとAAAの概念を説明できる
• 脅威アクターの分類と各アクターの特徴を理解した

次のステップへ

次は「脅威モデリング（STRIDE）」を学びます。脅威を体系的に分析するためのフレームワークを使い、システムの弱点を事前に特定する方法を身につけましょう。

推定読了時間: 30分