実用性を高めたセキュリティコーディング

ロギングおよびモニタリングが不十分である

ログ記録と監視は、問題が既に発生した際に考慮されないことが多いですが、実際には適切なログ記録と監視が行われないと、多大なコストが発生する可能性があります。極端な例を挙げれば、事故が発生した場合、 （セキュリティ関連の問題かどうかに関わらず）ログがほとんどない、あるいは全くない場合、実際に何が起こったのかを把握できません。一方で、過剰なデータを記録すると個人情報保護の問題が発生し、規制当局とのトラブルにつながる可能性があります。ロギングとモニタリングが不十分になることを防ぐためのベストプラクティスガイドラインをご覧ください。

既知の脆弱性があるコンポーネントの使用

ほとんどのアプリケーションは大量のサードパーティ製コンポーネントを使用しています。これらのコンポーネントは、ロギング、テンプレート作成、データベースアクセスなどあらゆる機能を提供します。これによりソフトウェア開発が大幅に容易になり、時間も大幅に節約されます。しかし、これらは人間が作ったものであるため、一部には必然的に脆弱性が存在し得ます。ガイドラインを読み、詳細を確認してください。

SQLインジェクション

SQLインジェクション（SQLi）は、SQL文にコードを挿入することでアプリケーションから重要な情報を攻撃・収集するウェブセキュリティの脆弱性です。データベースを操作して重要な情報を抽出する最も一般的なハッキング手法です。

誤ったセキュリティ構成

セキュリティ構成エラーは、誤ったコードではなく、アプリケーションの構成設定によって引き起こされる一般的な脆弱性を包括的に指す用語です。これは広範なテーマであり、技術スタックなどの要素に大きく依存します。これらの問題を解決することは、構成ファイルやコードの一行を変更するといった単純な作業に見えますが、これらの脆弱性の影響と結果は深刻な場合があります。この脆弱性とそれを緩和する方法について詳しく知るには、ガイドラインをお読みください。

サーバー側のリクエスト偽造

サーバーサイドリクエストフォージェリ（SSRF）の脆弱性は、ユーザーがアプリケーションに攻撃者が指定したドメインへのHTTPリクエストを実行させることができる場合に発生します。アプリケーションがプライベート/内部ネットワークにアクセスできる場合、攻撃者はアプリケーションに内部サーバーへのリクエストを実行させることも可能です。このガイドラインでは、実際の様子をよりよく理解できるよう、いくつかの例を交えながら詳細に検討していきます。

パスワード保存

アプリケーションがユーザーを認証する場合、パスワードも処理する可能性が高いです。ユーザーパスワードの処理は非常に重要であり、適切に処理することはさらに大きな課題です。アプリケーションが攻撃を受け、インターネットを通じてユーザーパスワードが漏洩し、誰もが閲覧できる状態になることほど悪いシナリオは想像し難いでしょう。ベストプラクティスに従い、パスワードを安全に保存するにはどうすればよいでしょうか？いくつかの方法を見ていきましょう。

大量割り当て

大量割り当ては、APIエンドポイントがユーザーが変更可能な関連オブジェクトのプロパティを制限しない脆弱性です。この脆弱性は、モデルにHTTPパラメータを自動的にバインドし、検証なしにそのまま使用できるようにするライブラリ/フレームワークを使用する際に発生する可能性があります。リクエストの自動バインディングをオブジェクトに使用することは非常に有用な場合もありますが、モデルにユーザーがアクセスできないように制限されていないプロパティが存在する場合、セキュリティ上の問題を引き起こす可能性があります。詳細についてはガイドラインを参照してください。

セキュリティ構成エラー - XXEの詳細

XML外部エンティティ（XXE）脆弱性クラスは、XMLパーサーに関連する誤ったセキュリティ構成です。XML標準には、ファイルやURLなどの「オブジェクト」を参照する方法が含まれています。パーサーが外部エンティティを完全に検証することがデフォルトである場合が多く、これによりXML文書を通じてファイルやその他の機密情報が潜在的な攻撃者に公開される可能性があります。詳細については、完全なガイドラインをお読みください。

インジェクション - パス・トラバーサル

パスナビゲーションは、非常に一般的な別のタイプのインジェクション脆弱性です。URLやファイルパスなどのURIを生成する際に、完全に検証されたパスが意図したパスのルート外を指さないよう適切に検証されていない場合に、この問題が発生する傾向があります。パスナビゲーション脆弱性の影響は、ナビゲーションが発生した場所のコンテキストと実施された全体的なセキュリティ強化によって大きく異なります。ガイドラインを読んで詳細を確認してください。

認証および認可

インジェクション - XSS

クロスサイトスクリプティング（XSS）は、攻撃者が制御するスクリプトを他のユーザーのブラウザで評価させる別のタイプのインジェクション脆弱性です。XSSはHTML/JavaScriptインジェクション脆弱性と見なすこともできます。発生し得るXSSのタイプを見ていきましょう。

インジェクション101

가장 잘 알려진 취약점 중 하나가 인젝션 취약점인 이름, 그 중에서도 놀랍게도 그 후손인 SQL 인젝션 (SQL인젝션) 이 있습니다.기술 세계에서는 SQL 인젝션에 대한 이야기를 듣기가 어렵기 때문에 이야기해 보도록 하겠습니다.<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<< #####에 대한 간략한 소개를 다시 읽어보세요.

ファイルアップロード

アプリケーションは、ユーザーがアプリケーション内のどこかにファイル（使用または保存用）をアップロードできるように、あらゆる時点で許可する必要があるケースが非常に頻繁にあります。この機能を実装する方法は単純に見えますが、ファイルアップロードの処理方法に関連する潜在的なリスクのため、非常に重要となる可能性があります。詳細についてはガイドラインを参照してください。

コマンドインジェクション

コマンドインジェクション自体を見ていきましょう。実際にどのように見えるかをよりわかりやすくするため、主にいくつかの異なる例に焦点を当てます。簡単に説明すると、ユーザー入力がオペレーティングシステムのコマンドの一部を利用する場合に、コマンドインジェクションの脆弱性が発生します。詳細はガイドラインを参照してください。