What is an Application Vulnerability?

一般的なアプリケーションの脆弱性の悪用

斬新なエクスプロイトやゼロデイ攻撃は定期的に行われていますが、これらは多くの場合、少数の脆弱性を利用しています。 これらの脆弱性の多くは何年も前から知られていましたが、アプリケーションコード内に出現し続けています。

OWASP Top Ten Listは、アプリケーション(Webアプリケーションに重点を置いた)に出現する最も一般的で影響の大きい脆弱性のいくつかに焦点を当てた有名なリソースです。 OWASP Top 10リストの最新版は2021年にリリースされ、以下の10件の脆弱性が含まれています。

1. アクセス制御の不備
2. 暗号化の失敗
3. 注射
4. 安全でない設計
5. セキュリティの設定ミス
6. 脆弱で古いコンポーネント
7. 識別と認証の失敗
8. ソフトウェアとデータの整合性の障害
9. セキュリティ ログと監視の失敗
10. サーバーサイドリクエストフォージェリ

このリストでは、問題の根本原因に焦点を当てて、脆弱性の一般的なクラスについて説明します。 Common Weaknesses Enumeration (CWE) は、特定の問題の特定のインスタンスに関する情報を提供します。 OWASP Top Ten の各脆弱性には、関連する CWE が 1 つ以上リストされています。 たとえば、Cryptographic Failures には、ハードコードされた暗号化キーの使用や暗号化署名の不適切な検証など、マップされた 29 個の CWE のリストが含まれています。

アプリケーションの脆弱性を修復する方法

開発チームが DevSecOps プラクティスを採用する際、脆弱性管理の自動化は、開発とリリースの目標を達成しながらセキュリティを確保するために不可欠です。 開発チームは、次のようなさまざまなツールを使用してアプリケーションの脆弱性を特定できます。

• 静的アプリケーション・セキュリティ・テスト (SAST): SASTツールは、アプリケーションを実行せずにソースコードを解析します。 これにより、ソフトウェア開発ライフサイクルの早い段階で、アプリケーションが実行可能な状態でない脆弱性を特定できます。
• 動的アプリケーション・セキュリティ・テスト (DAST): DASTソリューションは、実行中のアプリケーションと対話し、ブラックボックスの脆弱性評価を実行します。 DASTツールは、一般的な悪意のある入力や、ファジングを使用して生成されたランダムで不正な形式のリクエストを送信することで、アプリケーション内の既知および未知の脆弱性を検索するように設計されています。
• インタラクティブ・アプリケーション・セキュリティ・テスト(IAST): IASTソリューションは、インスツルメンテーションを使用して、実行中のアプリケーションを可視化します。 この内部可視性により、IASTソリューションは、ブラックボックスDASTアプローチでは検出できない可能性のある問題を特定できます。
• ソフトウェア・コンポジション解析(SCA): ほとんどのアプリケーションには、ライブラリや依存関係などのサードパーティコードが含まれており、悪用可能な脆弱性が含まれている可能性もあります。 SCAは、アプリケーション内で使用される外部コードを可視化し、このソフトウェアの既知の脆弱性を特定して修正することを可能にします。

効果的なDevSecOpsワークフローは、これらのアプローチのほとんどまたはすべてを自動化されたCI/CDパイプラインに統合します。 これにより、脆弱性が可能な限り迅速に特定および修正される可能性が最大化され、開発者のオーバーヘッドと中断が最小限に抑えられます。