OWASP Top 10 2025のトレーニングコース

A01:2025 - 破損したアクセス制御
A02:2025 - セキュリティ誤設定
A03:2025 - ソフトウェアサプライチェーンの障害
A04:2025 - 暗号化の障害
A05:2025 - インジェクション
A06:2025 - 不安全な設計
A07:2025 - 認証の障害
A08:2025 - ソフトウェアまたはデータの完全性の障害
A09:2025 - セキュリティロギングおよびアラートの障害
A10:2025 - 例外状態の不適切な処理

A01:2025 破損したアクセス制御 - アクセス制御は、ユーザーが意図された権限を超えた行動をとれないようにするポリシーを強制します。これらの障害は、通常、未承認の情報開示、すべてのデータの修正または破壊、またはユーザーの制限を超えた業務機能の実行につながります。

A02:2025 セキュリティ誤設定 - セキュリティ誤設定とは、システム、アプリケーション、またはクラウドサービスがセキュリティの観点から正しく設定されていない状態であり、脆弱性を生じさせるものです。

A03:2025 ソフトウェアサプライチェーンの障害 - ソフトウェアサプライチェーンの障害は、ソフトウェアの構築、配布、または更新のプロセスにおける障害や他の侵害です。これらは、システムが依存するサードパーティのコード、ツール、または他の依存関係にある脆弱性や悪意のある変更によって引き起こされることがよくあります。

A04:2025 暗号化の障害 - 一般的に、トランジット中のすべてのデータは、トランスポート層（OSI 4層）で暗号化されるべきです。CPUの性能や秘密鍵/証明書管理といった過去の障害は、暗号化を加速するために設計されたインストラクション（例：AESサポート）を持つCPUや、LetsEncrypt.orgなどのサービスによる秘密鍵および証明書管理の簡素化、さらに主要クラウドベンダーが特定のプラットフォームのために提供するより密接に統合された証明書管理サービスによって処理されています。トランスポート層の保護を超えて、レスト時に暗号化が必要なデータと、トランジット中（アプリケーション層、OSI 7層）に追加の暗号化が必要なデータを決定することが重要です。例えば、パスワード、クレジットカード番号、健康記録、個人情報、およびビジネスシークレットは、EUの一般データ保護規則（GDPR）やPCIデータセキュリティ標準（PCI DSS）などのプライバシー法または規制の下にある場合に特に、追加の保護が必要です。

A05:2025 インジェクション - インジェクション脆弱性は、攻撃者がプログラムの入力フィールドに悪意のあるコードやコマンド（SQLやシェルコードなど）を挿入し、システムを欺いてそれらをシステムの一部であるかのように実行させることを可能にするシステム上の欠陥です。これは本当に深刻な結果を招く可能性があります。

A06:2025 不安全な設計 - 不安全な設計は、「欠落または無効な制御設計」として表現される異なる弱点を表す広範なカテゴリです。不安全な設計は、他のTop Tenリスクカテゴリすべての原因ではありません。不安全な設計と不安全な実装には違いがあることに注意してください。設計上の欠陥と実装上の欠陥を区別するのは、それらが異なる根本原因を持ち、開発プロセス中の異なる時期に発生し、異なる修正方法が必要だからです。安全な設計であっても、実装上の欠陥により脆弱性が生じ、悪用される可能性があります。不安全な設計は、特定の攻撃を防ぐために必要なセキュリティ制御が最初から作成されていなかったため、完璧な実装によって修正されることはできません。不安全な設計に寄与する要因の一つは、開発中のソフトウェアまたはシステムに固有のビジネスリスクプロファイリングの欠如であり、これにより必要なセキュリティ設計のレベルを決定できないことです。

A07:2025 認証の障害 - 攻撃者がシステムを欺き、無効または間違ったユーザーを正当であると認識させられる場合、この脆弱性が存在します。

A08:2025 ソフトウェアまたはデータの完全性の障害 - ソフトウェアおよびデータの完全性の障害は、無効または信頼できないコードやデータが信頼できると見なされることを防いでいないコードやインフラストラクチャに関係します。これの一例は、アプリケーションが信頼できないソース、リポジトリ、コンテンツ配信ネットワーク（CDN）からのプラグイン、ライブラリ、またはモジュールに依存している場合です。ソフトウェア完全性チェックを消費または提供せずに実行される不安全なCI/CDパイプラインは、未承認のアクセス、不安全または悪意のあるコード、またはシステム侵害の可能性を導入し得ます。もう一つの例は、信頼できない場所からコードや成果物を取得し、または使用前にそれらを検証（署名の確認など）しないCI/CDです。

A09:2025 セキュリティロギング & アラートの障害 - ロギングと監視がなければ、攻撃や侵害を検出することができず、アラートがなければ、セキュリティインシデント中に迅速かつ効果的に対応することが非常に困難です。能動的な対応を開始するための不十分なロギング、継続的な監視、検出、およびアラートは、いつでも発生し得ます。

A10:2025 例外状態の不適切な処理 - ソフトウェアにおける例外状態の不適切な処理は、プログラムが異常かつ予測不可能な状況を防止、検出、および対応する失敗が発生した場合に起こり、クラッシュ、予期しない動作、場合によっては脆弱性につながります。これには、以下の3つの失敗の一つまたは複数を含む可能性があります；アプリケーションが異常な状況の発生を防止しない、その状況が発生していることを識別しない、および/またはその状況に後から不適切に、または全く対応しないことです。

以下の実用的な側面について議論し、提示します：

破損したアクセス制御
- 破損したアクセス制御の実践例
- 安全なアクセス制御とベストプラクティス

セキュリティ誤設定
- 誤設定の実世界の例
- 設定管理や自動化ツールを含む、誤設定を防ぐための手順

暗号化の障害
- 弱い暗号化アルゴリズムや不適切な鍵管理などの暗号化障害の詳細な分析
- 強固な暗号化メカニズム、安全なプロトコル（SSL/TLS）、およびWebセキュリティにおける現代の暗号化の例の重要性

インジェクション攻撃
- SQL、NoSQL、OS、およびLDAPインジェクションの詳細な分解
- 準備済みステートメント、パラメータ化クエリ、およびエスケープ入力を使用してのミティゲーション手法

不安全な設計
- 脆弱性に導く可能性のある設計上の欠陥、不適切な入力検証などを探ります
- 安全なアーキテクチャと安全な設計原則の戦略を研究します

認証の障害
- 一般的な認証の問題
- マルチファクター認証や適切なセッション処理などの安全な認証戦略

ソフトウェアおよびデータの完全性の障害
- 信頼できないソフトウェア更新やデータ改ざんなどの問題に焦点を当てます
- 安全な更新メカニズムとデータ完全性チェック

セキュリティロギングと監視の障害
- セキュリティ関連情報のロギングと疑わしい活動の監視の重要性
- 侵害を早期に検出するための適切なロギングとリアルタイム監視のためのツールとプラクティス