セキュアコーディングの実践

記録と監視の不十分さ

記録と監視は、何か問題が発生した後に後回しにされがちですが、実際には適切な記録と監視を確保しないことは非常に大きな代償を伴う可能性があります。 一方で、インシデント（セキュリティ関連か否かを問わず）が発生した際、ログが不足しているか存在しない場合、実際に何が起きたのかを把握することが不可能になります。反対に、過剰なデータの記録はプライバシー問題を引き起こす可能性があり、それが規制当局とのトラブルにつながる恐れがあります。 ログ記録と監視の不備を回避するためのベストプラクティスについては、当社のガイドをご覧ください。

既知の脆弱性を有するコンポーネントの使用

ほとんどのアプリケーションは大量のサードパーティ製コンポーネントを利用しています。これらのコンポーネントは、ログ記録からモデル生成、データベースアクセスに至るまであらゆる機能を提供します。これによりソフトウェア開発が大幅に容易になり、多くの時間を節約できます。しかし、それらは人間によって作成されているため、必然的に脆弱性を含むものも存在します。詳細についてはガイドをお読みください。

インジェクションSQL

SQLインジェクション（SQLi）は、SQL文にコードを注入してアプリケーションを攻撃し、重要な情報を収集する手法です。これはウェブセキュリティの脆弱性であり、データベースを操作して重要な情報を抽出する最も一般的なハッキング技術です。

セキュリティ設定の不備

セキュリティ設定の不備とは、ある種の包括的な用語であり、コードの不備ではなくアプリケーションの設定パラメータに起因して生じる一般的な脆弱性を指します。 これは非常に多岐にわたるテーマであり、技術インフラなどの要因に大きく依存します。設定ファイルの変更やコードの1行修正といった単純な解決策に見えることも多いですが、これらの脆弱性の影響と結果は深刻な場合があります。この脆弱性とその軽減方法について詳しくは、当社のガイドをご覧ください。

サーバー要求の偽造

サーバーサイドリクエストフォージェリ関連の脆弱性は、攻撃者が指定したドメインへアプリケーションがHTTPリクエストを送信するようユーザーに操作された場合に発生します。 アプリケーションがプライベート／内部ネットワークにアクセスできる場合、攻撃者はアプリケーションを操作して内部サーバーへのリクエスト送信も引き起こせます。この動作を具体的に理解するため、本ガイドラインにおける実例をいくつか用いて詳しく検討します。

パスワードの保存

アプリケーションがユーザーを認証する場合、パスワードも処理している可能性が高いです。 ユーザーのパスワード管理は非常に重要であり、適切な管理はさらに重要です。アプリケーションが攻撃され、ユーザーのパスワードがインターネット上に流出する最悪のシナリオを想像するのは容易ではありません。パスワードを安全に、ベストプラクティスに沿って保存するにはどうすればよいでしょうか？いくつかの方法を見てみましょう。

大衆の気取り

マスアサインメントは、APIエンドポイントが関連オブジェクトのプロパティ変更をユーザーに制限しない脆弱性です。この脆弱性は、HTTPパラメータをモデルに自動バインドするライブラリ/フレームワークを使用し、そのモデルを検証なしにそのまま利用する際に発生する可能性があります。 リクエストとオブジェクトの自動バインディングは極めて有用な場合もありますが、モデルにユーザーがアクセスすべきでないプロパティが存在する場合、セキュリティ上の問題を引き起こす可能性があります。詳細はガイドラインを参照してください。

セキュリティ設定の不備 - XXEの詳細

「XML外部エンティティ」（XXE）脆弱性は、XMLパーサーに関連するセキュリティ設定の誤りを指します。 XML規格では、ファイルやURLなどの「エンティティ」を参照する手段が含まれています。デフォルトでは、パーサーは外部エンティティを完全に解決するため、XML文書が攻撃者に対してファイルやその他の機密情報の漏洩を引き起こす可能性があります。詳細については完全なガイドラインをお読みください。

射出 - 軌道通過

パストラバーサルは、もう1つの比較的よく見られる注入型脆弱性です。これらは、URI（URL、ファイルパスなど）の構築において、完全に解決されたパスが意図されたルート外を指さないことを適切に保証していない場合に発生する傾向があります。 パストラバーサルの影響は、トラバーサルが発生するコンテキストと、実施された全体的な強化策に大きく依存します。詳細についてはガイドをお読みください。

認証と認可

インジェクション - XSS

クロスサイトスクリプティング（XSS）は、別のユーザーが使用するブラウザ上で攻撃者が制御するスクリプトを実行させる、別の種類のインジェクション脆弱性です。XSSはHTML/JavaScriptインジェクション脆弱性とも見なせます。遭遇する可能性のあるXSSの種類を見ていきましょう。

インジェクション101

最もよく知られている脆弱性のカテゴリの一つは、一般的にインジェクション関連の脆弱性であり、特に誰もが驚くことのない、誰もが認める代表格：SQLインジェクションです。 技術の世界でSQLインジェクションの話を耳にしないことは難しいので、ここではその概要を説明します。インジェクションの欠陥について簡単に紹介しましょう。

ファイルのダウンロード

アプリケーションでは、ユーザーがファイルをダウンロード（使用または単なる保存のため）できるようにする必要が、いずれかの時点で生じることは非常に一般的です。一見単純に思えるこの機能ですが、ファイルダウンロードの管理に伴う潜在的なリスクのため、その実装方法は非常に重要となる場合があります。詳細についてはガイドラインをお読みください。

コマンドの注入

コマンドインジェクションそのものについて検証しましょう。主にいくつかの異なる例に焦点を当て、実際の動作を把握しやすくします。復習として、コマンドインジェクションの脆弱性は、ユーザーの入力がオペレーティングシステムのコマンドの一部を利用する場合に発生します。詳細はガイドラインを参照してください。