Mímisbrunnr知恵の泉

← サイバーセキュリティ 一覧

🎓 レベル：標準　|　重要度：A（必須） 📎 前提：脅威モデリング（STRIDEと攻撃面） ⚠️ ランキングは改訂される（要最新確認）。本稿は 2021 版を安定基準とし、2025 版の主な変更を併記。

要点（BLUF）

概念：弱点の「地図」を持つ

脅威モデリング（脅威モデリング（STRIDEと攻撃面））で自分のアプリ固有の脅威を洗い出す一方、世の中のアプリに共通して多い弱点を知っておくと、見落としが減ります。それを集約したのが OWASP（Open Worldwide Application Security Project）の Top 10 です。実データ（多数の CWE＝弱点分類）に基づき、数年ごとに改訂されます。守る側は「まずここから潰す」優先順位として使います。

仕組み：2021 版の 10 カテゴリ（安定基準）

#カテゴリ一言で主な防御の方向
A01アクセス制御の不備権限チェック漏れ認可をサーバ側で徹底（アクセス制御モデルとゼロトラスト）
A02暗号化の失敗機密データの保護不足適切な暗号・保存（暗号の基礎 目次）
A03インジェクション入力がコードとして解釈パラメータ化・出力エンコード（入力検証とインジェクション対策）
A04安全でない設計設計段階の欠陥脅威モデリング・設計原則（セキュリティ設計原則）
A05セキュリティ設定ミス既定のまま・過剰公開ハードニング・最小化
A06脆弱で古いコンポーネント既知脆弱性の放置依存管理・更新（サプライチェーンセキュリティ）
A07識別と認証の失敗認証の弱さMFA・安全な保存（認証の基礎（パスワード保存とMFA））
A08ソフトウェアとデータの完全性の失敗改ざん検知不足署名・検証（デジタル署名と証明書（PKI））
A09ログと監視の不足気づけないログ・検知（ログと監視（SIEM/SOC））
A10サーバサイドリクエストフォージェリ（SSRF）サーバを踏み台に内部要求宛先の検証・分割

仕組み：2025 版の主な変更（要最新確認）

改訂のたびに実データを反映して順位や枠組みが変わります。2025 版の注目点は次の通りです。

重要なのは順位そのものより、改訂の方向。「設定・供給網・例外処理」という、コード単体を超えた**システム全体・前段（shift left）**へ防御の重心が移っています。

図解：Top 10 と本テキストの対応

flowchart TD
    OWASP["OWASP Top 10（弱点の地図）"]
    OWASP --> AC["アクセス制御の不備 -> 第3章 認可"]
    OWASP --> INJ["インジェクション -> 05-02 入力検証"]
    OWASP --> CRY["暗号化の失敗 -> 第2章 暗号"]
    OWASP --> SUP["供給網の失敗 -> 06-04 サプライチェーン"]
    OWASP --> LOG["ログ監視の不足 -> 07-01 ログと監視"]

防御側の使い方

なぜ安全か：共通の弱点を先回りで潰す

Top 10 が効くのは、多数の実被害データから「起きやすい順」を示しているからです。限られた時間と人を、最も事故が多い領域から投入できます。さらに改訂の方向（設定・供給網・例外処理へ）を読むと、コードだけ直しても足りない――設計・依存・運用まで含めて守る必要があると分かります。

仕組みの直観

OWASP Top 10 は事故の多い交差点ランキングです。すべての道に同じ標識を立てるのは非効率。事故統計（実データ）で危険な交差点トップ10を割り出し、そこから信号と標識を整備します。ランキングは数年ごとに更新され、「最近は工事現場（供給網）での事故が増えた」といった傾向も反映されます。

⚠️ よくある誤解・設定ミス

対応 lab

個別カテゴリの防御は該当ノートの lab で扱います（暗号＝第2章、認証＝第3章）。本トピックは地図のため lab は置きません。

関連