アプリケーションセキュリティ

アプリケーションセキュリティ（AppSec ）には、開発チームに安全なソフトウェア開発ライフサイクルを導入するすべてのタスクが含まれます。その最終目標は、セキュリティプラクティスを改善し、それを通じてアプリケーション内のセキュリティ問題を発見、修正し、できれば防止することです。要件分析、設計、実装、検証、保守に至るまで、アプリケーションライフサイクル全体を網羅しています。^{[ 1 ]}

Webアプリケーションセキュリティは、Webサイト、Webアプリケーション、Webサービスのセキュリティを専門に扱う情報セキュリティの一分野です。大まかに言うと、Webアプリケーションセキュリティはアプリケーションセキュリティの原則に基づいていますが、それをインターネットとWebシステムに特化して適用します。^{[ 2 ] [ 3 ]}アプリケーションセキュリティは、iOSおよびAndroidアプリケーションを含むモバイルアプリとそのセキュリティにも重点を置いています。

Webアプリケーションセキュリティツールは、HTTPトラフィックを扱うための専用ツールであり、例えばWebアプリケーションファイアウォールなどがあります。

異なるアプローチを用いると、アプリケーションに潜むセキュリティ脆弱性の異なるサブセットが発見され、ソフトウェアライフサイクルの異なる段階で最も効果を発揮します。それぞれのアプローチは、時間、労力、コスト、そして発見される脆弱性の数において、異なるトレードオフを伴います。

• 設計レビュー。コードを書く前に、アプリケーションのアーキテクチャと設計をレビューしてセキュリティ上の問題がないか確認できます。この段階でよく使われる手法は、脅威モデルの作成です。
• ホワイトボックステスト、またはコードレビュー。内部構造、アーキテクチャ、設計などを詳細に検証する。
• ブラックボックステスト。内部構造ではなく、機能性をテストする。
• 自動化ツール。多くのセキュリティツールは、開発環境やテスト環境に組み込むことで自動化できます。その例としては、コードエディタやCI/CDプラットフォームに統合された自動化されたDAST/SASTツールが挙げられます。
• 連携型脆弱性プラットフォーム。これは、多くのウェブサイトやソフトウェア開発者が提供する、ハッカー主導のアプリケーションセキュリティソリューションであり、バグを報告することで個人が評価や報酬を受け取ることができる。

Open Worldwide Application Security Project ( OWASP ) は、無料でオープンなリソースを提供しています。OWASP Foundation という非営利団体が主導しています。OWASP Top 10 - 2017 は、40 を超えるパートナー組織から収集された包括的なデータに基づく最近の調査結果です。このデータにより、50,000 を超えるアプリケーションで約 230 万の脆弱性が明らかになりました。^{[ 4 ]} OWASP Top 10 - 2021 によると、最も重大な Web アプリケーション セキュリティ リスク 10 項目は次のとおりです。^{[ 5 ] [ 6 ]}

1. アクセス制御の不具合
2. 暗号化の失敗
3. 注射
4. 安全性の低い設計
5. セキュリティ設定の誤り
6. 脆弱で旧式の部品
7. 識別および認証の失敗
8. ソフトウェアおよびデータ整合性の障害
9. セキュリティログ記録および監視の障害*
10. サーバーサイドリクエストフォージェリ（SSRF）*

OWASP Top 10 Proactive Controls 2024は、すべてのソフトウェアアーキテクトと開発者が知っておくべき、そして留意すべきセキュリティ技術のリストです。

現在のリストには以下が含まれます。

1. アクセス制御を実装する
2. 暗号化を正しく使用する
3. すべての入力を検証し、例外を処理する
4. セキュリティ対策は最初から行う
5. デフォルトで安全な設定
6. 部品を安全に保管してください
7. デジタルアイデンティティを導入する
8. ブラウザのセキュリティ機能を使用する
9. セキュリティログ記録と監視を実装する
10. サーバーサイドリクエストフォージェリを阻止する

セキュリティテスト手法は、アプリケーションの脆弱性やセキュリティホールを徹底的に調査します。これらの脆弱性によって、アプリケーションは悪用される危険性が高まります。理想的には、セキュリティテストはソフトウェア開発ライフサイクル（SDLC）全体を通して実施され、脆弱性にタイムリーかつ徹底的に対処できるようにします。

アプリケーションの脆弱性を特定するための自動化ツールには多くの種類があります。アプリケーションの脆弱性を特定するために一般的に使用されるツールカテゴリには、以下のようなものがあります。

• 静的アプリケーションセキュリティテスト（SAST）は、アプリケーション開発中にソースコードを分析してセキュリティ脆弱性を検出します。動的アプリケーションセキュリティテスト（DAST）と比較して、SASTはアプリケーションが実行可能状態になる前でも利用できます。SASTはソースコード全体にアクセスできるため、ホワイトボックスアプローチを採用しています。これにより、より詳細な結果が得られる一方で、手動で検証する必要のある誤検出が多く発生する可能性があります。
• 動的アプリケーションセキュリティテスト（DAST、脆弱性スキャナーとも呼ばれる）は、Webサイトをクロールして分析することで脆弱性を自動的に検出します。この方法は拡張性が高く、統合が容易で、迅速です。DASTツールは、インジェクションの欠陥などの低レベルの攻撃に対処するのに適していますが、ロジックやビジネスロジックの欠陥などの高レベルの欠陥を検出するのには適していません。^{[ 7 ]}ファジングツールは、入力テストによく使用されます。^{[ 8 ]}
• 業界のアプリケーションセキュリティ研究では、安全でないAPI、クライアント側のコード改ざん、ランタイムエクスプロイトに関連するリスクの増大が強調されており、包括的な動的およびランタイムセキュリティテストの重要性が改めて示されています。^{[ 9 ]}
• 対話型アプリケーションセキュリティテスト（IAST）は、ソフトウェア計測を使用してアプリケーションを内部から評価します。これは、SASTとDASTの両方のメソッドの長所を組み合わせたものであり、コード、HTTPトラフィック、ライブラリ情報、バックエンド接続、構成情報へのアクセスを提供します。^{[ 10 ] [ 11 ]}一部のIAST製品ではアプリケーションへの攻撃が必要ですが、通常の品質保証テスト中に使用できるものもあります。^{[ 12 ] [ 13 ]}
• ランタイムアプリケーション自己保護機能は、既存のアプリケーションを拡張し、アプリケーション実行環境内から侵入検知と防御機能を提供します。
• 依存関係スキャナー（ソフトウェア構成分析とも呼ばれる）は、既知の脆弱性を持つソフトウェアコンポーネントの使用を検出します。これらのツールは、ソースコードのビルドプロセス中など、必要に応じて実行することも、定期的に実行することもできます。

• CERTセキュアコーディング標準
• ISO/IEC 27034-1:2011情報技術 ― セキュリティ技術 ― アプリケーションセキュリティ ― 第1部：概要と概念
• ISO/IEC TR 24772:2013情報技術 ― プログラミング言語 ― 言語の選択と使用によるプログラミング言語の脆弱性の回避に関するガイダンス
• NIST特別刊行物800-53
• OWASP ASVS: Webアプリケーションセキュリティ検証標準^{[ 14 ]}

• 共通の弱点の列挙
• データセキュリティ
• モバイルセキュリティ
• OWASP
• マイクロソフトのセキュリティ開発ライフサイクル
• 使いやすいセキュリティ