オーワスプ

オーワスプ

種類	501(c)(3) 非営利団体
集中	Webセキュリティ、アプリケーションセキュリティ、脆弱性評価
座標	北緯39°44′47″ 西経75°33′03″ / 北緯39.746343° 西経75.5508357° / 39.746343; -75.5508357
方法	業界標準、会議、ワークショップ
収益	230万ドル[1]
総資産	1,669,244 米ドル (2021)
Webサイト	owasp.org

Open Worldwide Application Security Project ^[7] ( OWASP )は、 IoT、システムソフトウェア、Webアプリケーションセキュリティの分野で無料で利用できる記事、方法論、ドキュメント、ツール、テクノロジーを作成するオンラインコミュニティです。^{[8] [9] [10]} OWASPは無料のオープンリソースを提供しています。これは、OWASP Foundationと呼ばれる非営利団体によって主導されています。 OWASP Top 10 - 2021は、40を超えるパートナー組織から収集された包括的なデータに基づく最近の調査の公開結果です。

マーク・カーフィーは2001年9月9日にOWASPを設立しました。^[2]ジェフ・ウィリアムズは2003年後半から2011年9月までOWASPのボランティア議長を務めました。2015年現在^[update]、マット・コンダが理事会の議長を務めています。^[11]

OWASP Foundationは、2004年に設立された米国の501(c)(3)非営利団体であり、OWASPのインフラストラクチャとプロジェクトをサポートしています。2011年以降、OWASPはOWASP Europe VZWという名前でベルギーでも非営利団体として登録されています。^[12]

2023年2月、OWASP Foundationのグローバル理事会役員であるビル・コリー氏^[13]がTwitter ^[7]で、理事会がOpen Web Application Security Projectから現在の名称への改名に投票し、WebをWorldwideに置き換えることを報告しました。

• OWASP Top Ten: 「Top Ten」は2003年に初めて公開され、定期的に更新されています。^[14]組織が直面している最も重要なリスクを特定することで、アプリケーションセキュリティに関する意識を高めることを目的としています。^{[15] [16] [17]}多くの標準、書籍、ツール、組織がTop 10プロジェクトを参照しており、その中にはMITRE、PCI DSS、^[18]国防情報システム局（DISA -STIG）、米国連邦取引委員会（FTC）などがあります。 ^{[19] [20]}
• OWASP ソフトウェア保証成熟度モデル: ソフトウェア保証成熟度モデル (SAMM) プロジェクトの使命は、あらゆるタイプの組織がソフトウェア セキュリティの姿勢を分析し、改善するための効果的で測定可能な方法を提供することです。主な目的は、柔軟な自己評価モデルを通じて、安全なソフトウェアを設計、開発、展開する方法について組織に認識を高め、教育することです。SA​​MM はソフトウェア ライフサイクル全体をサポートし、テクノロジやプロセスに依存しません。SAMM モデルは、すべての組織に有効な単一のレシピがないことを認識した上で、進化型でリスク主導型になるように設計されています。^[21]
• OWASP 開発ガイド: 開発ガイドには実用的なガイダンスが含まれ、J2EE、ASP.NET、PHP のコード サンプルが含まれています。開発ガイドでは、SQL インジェクションからフィッシング、クレジットカード処理、セッション固定、クロスサイト リクエスト フォージェリ、コンプライアンス、プライバシーの問題など、最新の懸念事項まで、アプリケーション レベルのセキュリティ問題を幅広く取り上げています。
• OWASP テストガイド: OWASP テストガイドには、ユーザーが自分の組織で実装できる「ベストプラクティス」の侵入テストフレームワークと、最も一般的な Web アプリケーションおよび Web サービスのセキュリティ問題をテストするための手法を説明する「低レベル」の侵入テストガイドが含まれています。バージョン 4 は 2014 年 9 月に 60 人の個人からの意見を取り入れて公開されました。^[22]
• OWASP コード レビュー ガイド: コード レビュー ガイドは現在、2017 年 7 月にリリースされたバージョン 2.0 です。
• OWASPアプリケーションセキュリティ検証標準（ASVS）：アプリケーションレベルのセキュリティ検証を実行するための標準。^[23]
• OWASP XMLセキュリティゲートウェイ（XSG）評価基準プロジェクト。^[24]
• OWASP Top 10インシデント対応ガイダンス。このプロジェクトは、インシデント対応計画に対するプロアクティブなアプローチを提供します。このドキュメントの対象読者は、ビジネスオーナーからセキュリティエンジニア、開発者、監査、プログラムマネージャー、法執行機関、法律顧問までです。^[25]
• OWASP ZAP プロジェクト: Zed Attack Proxy (ZAP)は、Web アプリケーションの脆弱性を見つけるための使いやすい統合侵入テスト ツールです。侵入テストを初めて行う開発者や機能テスト担当者など、セキュリティに関する幅広い経験を持つ人々が使用できるように設計されています。
• Webgoat: 安全なプログラミング実践のガイドとして OWASP が作成した、意図的に安全でない Web アプリケーション。^[2]ダウンロードすると、このアプリケーションにはチュートリアルと、脆弱性を悪用する方法を学生に教えるさまざまなレッスンのセットが付属しており、安全なコードの書き方を教えることを目的としている。
• OWASP AppSec Pipeline:アプリケーション セキュリティ(AppSec) Rugged DevOps Pipeline プロジェクトは、アプリケーション セキュリティ プログラムの速度と自動化を向上させるために必要な情報を見つける場所です。AppSec Pipeline は、DevOps と Lean の原則を取り入れ、それをアプリケーション セキュリティ プログラムに適用します。^[26]
• OWASPウェブアプリケーションに対する自動化された脅威：2015年7月発行^{[27] - OWASP ウェブアプリケーションに対する自動化された脅威プロジェクトは、クレデンシャル}スタッフィングなどの自動化された脅威から身を守るために、アーキテクト、開発者、テスターなどに決定的な情報やその他のリソースを提供することを目的としています。このプロジェクトでは、OWASPが定義する上位20の自動化された脅威について概説しています。^[28]
• OWASP APIセキュリティプロジェクト：アプリケーションプログラミングインターフェース（API）の固有の脆弱性とセキュリティリスクを理解し、軽減するための戦略とソリューションに焦点を当てています。最新のリスト「APIセキュリティトップ10 2023」が含まれています。^[29]

セキュリティの特定の分野における学生の知識を認定するための認定制度がいくつかあります。

OWASPのトップ10の脆弱性について学習者に教える、テクノロジースタック全体に適用可能なセキュリティ標準のベースラインセット。^[30]

• A01:2021アクセス制御の不備^[31]
• A02:2021暗号の失敗^[32]
• A03:2021 注射^[33]
• A04:2021安全でない設計^[34]
• A05:2021 セキュリティの誤った構成 - 脆弱性につながる可能性のあるセキュリティ設定、権限、および制御の不適切な構成^[35]
• A06:2021 脆弱なコンポーネントと古いコンポーネント^[36]
• A07:2021 識別と認証の失敗^[37]
• A08:2021 ソフトウェアおよびデータ整合性の障害^[38]
• A09:2021 セキュリティログと監視の失敗
• A10:2021サーバー側リクエストフォージェリ（SSRF） - ウェブアプリケーションがユーザーが指定したURLを検証せずにリモートリソースを取得することによって引き起こされる^{[39] [40]}

OWASP組織は、2014年のヘイマーケットメディアグループ SCマガジンエディターズチョイス賞を受賞しました。^{[9] [41]}

• オープンソースセキュリティ財団

• 公式サイト