コンテンツへスキップ
uencoder

OWASP

OWASP（Open Web Application Security Project）は、Web脆弱性トップ10リストやセキュリティ実践ガイドを公開する非営利団体である。Webセキュリティの権威として知られる。

目的

Webアプリケーションセキュリティのためのオープンソースの知識、ツール、標準を提供し、開発者が安全なアプリケーションを構築できるように支援する。

メカニズム

OWASP Top 10は、最も深刻なWeb脆弱性（インジェクション、XSS、設定ミスなど）を定期的に更新して公開する。またチートシートシリーズ、ASVS（Application Security Verification Standard）、ZAP（スキャナツール）も公開している。コミュニティ駆動で非営利である。

ユースケース

  • Webセキュリティ開発の参考
  • セキュリティ監査と評価
  • セキュリティ研修
  • コンプライアンス対応

例

  • 入力 
    OWASP Top 10:2021
    Output 
    A01 Broken Access Control etc.

    10 vulnerability classes

よくあるエラー

Checking only against the Top 10 while ignoring other vulnerabilities
Treat the Top 10 as a starting point; use ASVS for full assessment

関連用語

XSS
XSS（クロスサイトスクリプティング）は、攻撃者が悪意あるスクリプトをページに注入し、他のユーザーのブラウザで実行させる攻撃である。保存型、反射型、DOMベース型がある。
用語集
CSRF
CSRF（クロスサイトリクエストフォージェリ）は、攻撃者がログイン中のユーザーを騙して、知らないうちに悪意あるリクエストを対象サイトへ送らせる脆弱性である。
用語集
SQL Injection
SQL インジェクションは、攻撃者が悪意のある SQL 断片をクエリ文字列に継ぎ足し、データベースに意図しないコマンドを実行させる攻撃である。
用語集
CVE
CVE（Common Vulnerabilities and Exposures）は、公開されたセキュリティ脆弱性に一意の識別子（CVE-YYYY-NNNN）を付与する仕組みで、MITRE が管理する。
用語集
CVSS
CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を評価する標準化されたスコアリングシステムで、0〜10 のスコアを出力し、FIRST が管理する。
用語集

References