Security Misconfiguration
セキュリティ設定ミスとは、既定の設定・過剰な機能・誤ったヘッダー設定などがセキュリティを弱める状態を指し、OWASP Top 10 の脆弱性の一つである。
目的
設定セキュリティのベースラインと防御策を理解すること、それがデプロイセキュリティの中核である。
メカニズム
典型的な欠陥は、既定の資格情報、デバッグモードの有効化、ディレクトリリスティング、不要な機能やポート、セキュリティヘッダーの欠落、バージョンを漏えいするエラーメッセージである。防御としては、強化されたベースライン設定、自動スキャン、最小化、定期監査がある。
ユースケース
- 設定のセキュリティ監査
- ベースラインの強化
- デプロイのセキュリティ