Webセキュリティの基礎

Webセキュリティの基礎

Webセキュリティとは、Webサイト、Webアプリケーション、Webサービスを、侵入、データ窃取、破壊を試みる人々から守ることです。これはセキュリティ専門家だけのものではなく、Web向けに構築するすべての人が基礎を理解する必要があります。

全体像: OWASP Top 10

Open Web Application Security Project (OWASP) は、Webアプリケーションへの最も重要な10のセキュリティリスクのリストを維持しています。これはWeb脆弱性の「指名手配」リストのようなものです。現在のリストには、アクセス制御の不備 (ユーザーがアクセスすべきでないものにアクセスできる)、暗号の失敗 (弱い暗号化または暗号化なし)、インジェクション攻撃 (システムを騙して悪意のあるコードを実行させる)、安全でない設計 (アーキテクチャ自体の欠陥)、セキュリティの誤設定 (デフォルトパスワードのまま、管理パネルの公開)、脆弱で古いコンポーネント (既知の穴のある古いライブラリの使用)、認証の失敗 (弱いログインシステム)、ソフトウェアとデータの完全性の失敗 (改ざんされたコードやデータ)、ログ記録と監視の失敗 (問題が発生したときに気づかない)、サーバーサイドリクエストフォージェリ (サーバーを騙して行うべきでないリクエストを実行させる) などが含まれます。

一般的な攻撃ベクトル

攻撃者には標準的な手口があります。SQLインジェクションは、ユーザー入力が直接データベースクエリに組み込まれるときに発生します — 攻撃者がログインフォームにSQLコマンドを入力すると、突然データベースを読み取れるようになります。クロスサイトスクリプティング (XSS) は、攻撃者が他のユーザーが閲覧するページに悪意のあるスクリプトを注入し、セッションを盗んだりサイトを改ざんしたりできるようにします。クロスサイトリクエストフォージェリ (CSRF) は、ログイン中のユーザーを騙して知らないうちにリクエストを送信させます — 例えばパスワード変更や送金など。クリックジャッキングは、正規のボタンの上に不可視の要素を重ね、ユーザーが意図しないものをクリックさせます。安全でないデシリアライゼーションは、悪意のあるシリアライズされたオブジェクトを送信することで攻撃者が任意のコードを実行できるようにします。

実際に効果のある防御戦略

入力検証は最初の防衛線です — ユーザー入力を決して信用しないでください。ブラウザだけでなくサーバーサイドで検証してください。出力エンコーディングは、ユーザーデータを表示するときにそれがテキストとして扱われ、実行可能なコードとして扱われないことを保証します。コンテンツセキュリティポリシー (CSP) は用心棒のように働き、ブラウザにどのスクリプト、スタイル、その他のリソースのソースが許可されるかを正確に伝えます。セキュリティヘッダーは保護の層を追加します: HSTS は HTTPS を強制し、X-Frame-Options はクリックジャッキングを防ぎ、X-Content-Type-Options は MIME スニッフィングを停止し、Referrer-Policy は送信されるリファラー情報を制御します。認証には、多要素認証を使用し、bcrypt や Argon2 などの強力なアルゴリズムでパスワードをハッシュ化し、レート制限を実装してブルートフォース攻撃を遅らせます。認可には、最小権限の原則に従ってください — ユーザーは絶対に必要なものだけにアクセスできるようにし、ロールベースのアクセス制御を使用して権限を体系的に管理してください。

プロセスにセキュリティを組み込む

セキュリティは最後にチェックする項目ではありません — 開発ライフサイクル全体を貫く一連の流れです。設計段階で脅威モデリングから始めましょう: 何が起こり得るか、どうすれば気づけるか。開発中に静的解析 (SAST) を使用して、コードがリリースされる前に問題を発見します。テストで動的解析 (DAST) を実行してランタイムの脆弱性を見つけます。依存関係 (SCA) をスキャンして、サードパーティライブラリの既知の脆弱性を検出します。メジャーリリース前にペネトレーションテストを実施します。そして本番稼働後は継続的に監視してください — 知らないことは修正できません。

セキュリティヘッダー クイックリファレンス

Content-Security-Policy はブラウザが読み込めるリソースを制御します。Strict-Transport-Security は HTTPS を強制します。X-Frame-Options は自分のサイトが iframe に埋め込まれるのを防ぎます。X-Content-Type-Options はブラウザが MIME タイプを推測するのを防ぎます。Referrer-Policy は送信されるリファラー情報の量を制御します。Permissions-Policy は自分のサイトが使用できるブラウザ機能を制御します。