はじめに
本書の目的
この文書は、Webアプリケーションにおける脆弱性についてわかりやすく説明するガイドです。専門用語は最小限に抑え、具体例を交えながら解説します。例えば、ログイン画面や問い合わせフォーム、ネットショップの決済機能など、身近な場面を想定して説明します。
対象読者
開発者だけでなく、運用担当者や企画担当、セキュリティの初心者まで広く想定しています。技術的な背景がなくても理解できるよう配慮しています。
本書で学べること
- 脆弱性の基本的な考え方と定義
- 代表的な脆弱性の種類とその特徴（具体例つき）
- なぜ脆弱性が発生するのかの主な原因
- OWASP Top 10 に示される主要なリスクの概要
読み方のポイント
章ごとに順番に読むと理解が深まります。まずは第2章で基礎をつかみ、第3章で具体例を確認してください。実務に活かすためのヒントも盛り込みますので、気になる箇所は繰り返しご覧ください。
Webアプリケーション脆弱性とは
脆弱性の定義
脆弱性（Vulnerability）は、システムやソフトウェア、Webアプリケーションにあるセキュリティ上の欠陥や弱点を指します。単なるバグと違い、攻撃者に悪用されることで情報漏えい、不正アクセス、データ改ざんなどの被害を引き起こします。
なぜ問題か
脆弱性が残ると、サービス停止や顧客情報の流出など重大な被害につながります。企業では信頼失墜や法的な責任が発生することもあります。個人利用のサイトでも、アカウントの乗っ取りやプライバシー侵害が生じます。
具体的な影響（例）
- ユーザーの個人情報が外部に漏れる（メールアドレス、住所など）
- ログイン機能を突破され不正操作される
- 表示内容が書き換えられて詐欺に使われる
身近な例で見る脆弱性
- 入力欄に悪い文字列を入れると管理画面に入れてしまう（SQLインジェクションの簡易例）
- コメント欄にスクリプトを書き込むと他の利用者の画面で実行される（クロスサイトスクリプティング）
基本的な予防策（要点）
- 入力を信用せず検証する。型や長さを厳しくチェックします。
- 権限を必要最小限にする。管理者権限を限定します。
- ソフトウェアやライブラリを常に更新する。
- ログを残して不審な動きを早期に発見する。
次章で代表的な脆弱性を詳しく見ていきます。
Webアプリケーションの代表的な脆弱性10選
1. SQLインジェクション
攻撃者が入力欄に悪意あるSQLを入れて、データベースを操作します。例：ログイン欄に”‘ OR ‘1’=’1″を入れて認証を突破する。対策：プリペアドステートメント（パラメータ化）を使い、入力を検証してください。
2. クロスサイト・スクリプティング（XSS）
ページに悪意のあるスクリプトが埋め込まれ、他人のブラウザで動きます。例：掲示板にでクッキーを盗むコードを置く。対策：出力時に特殊文字をエスケープし、必要ならコンテンツセキュリティポリシーを設定してください。
3. クロスサイト・リクエスト・フォージェリ（CSRF）
認証中のユーザーに気づかれず操作を実行させます。例：別サイトの画像タグで送金リクエストを送る。対策：トークンを使って正当なフォーム送信か確認してください。
4. セッションハイジャック
セッションIDを盗んで利用者になりすまします。例：盗んだクッキーで管理画面にログイン。対策：セキュア属性・HttpOnly属性を付け、HTTPSを常時使ってください。
5. ディレクトリトラバーサル
階層をさかのぼって機密ファイルを取得します。例：”../../etc/passwd”で配置ファイルを読む。対策：入力を正規化し、ファイルパスの制限を行ってください。
6. OSコマンドインジェクション
アプリからシステムコマンドを実行する際に入力がそのまま渡されます。例：ファイル名に”; rm -rf /”を入れて危険動作を誘発。対策：コマンド実行を避け、必要ならホワイトリストで検証してください。
7. バッファオーバーフロー
境界チェックが無くデータが溢れ、異常動作や任意コード実行につながります。例：長すぎる入力でプログラムをクラッシュさせる。対策：入力長を厳しくチェックし、安全な関数を使ってください。
8. 不適切な認可（IDOR）
ユーザー間で想定外にデータにアクセスできます。例：URLのIDを書き換えて他人の注文を閲覧。対策：アクセス権をサーバー側で必ず確認してください。
9. 情報漏洩（不適切なエラーハンドリング）
エラーメッセージが内部情報を出します。例：詳細なSQLエラーを画面に表示する。対策：一般向けのエラーメッセージにし、詳細はログにのみ残してください。
10. 設定ミス・不要な機能公開
デフォルトのままや不要な管理画面を公開していると狙われます。例：デバッグモードや未保護の管理ページ。対策：不要機能は無効化し、設定を必ず点検してください。
脆弱性が生じる主な原因
入力値の検証不足
ユーザーや外部システムからのデータを無条件に信頼すると危険です。たとえば検索欄やフォームに特別な文字列を入れると、SQLインジェクションやXSS（画面に不正なスクリプトが出る攻撃）が起きます。対策は受け取る値を「型」「長さ」「許可する文字」で必ず検査し、必要な場合はエスケープ（特殊文字を安全化）やプリペアドステートメント（パラメータ分離）を使うことです。
不適切なエラーハンドリング
詳細な内部情報を含むエラーメッセージをそのまま表示すると、攻撃者に手がかりを与えます。公開側は一般的なエラーを表示し、詳細なログはサーバー側で保管してください。
設定ミスと安全でない初期値
デフォルトのまま使う、不要な機能を有効にする、パスワードや鍵をコードに直書きするなどで脆弱性が生じます。最小権限の原則で設定し、秘密情報は環境変数や専用の秘密管理に入れてください。
認証・認可の欠陥
ログインや権限チェックを適切に設計しないと、他人のデータを参照・操作されます。役割に応じた細かいアクセス制御を実装してください。
外部依存とライブラリの問題
古いライブラリや未検証の外部モジュールが攻撃経路になります。依存関係は定期的に更新し、脆弱性情報を確認する習慣を持ってください。
セッション・クッキー管理の不備
セッションIDの漏洩は不正ログインにつながります。セキュア属性や有効期限の設定、長いランダムなIDを使ってください。
運用・設計の問題
要件のあいまいさ、レビュー不足、テストの欠如、レガシーコードの放置なども原因です。設計段階からセキュリティを考え、コードレビューや自動テストを導入しましょう。
OWASP Top 10 – 最も危険なWebアプリケーションリスク
OWASP Top 10（2021）は、Webアプリで特に注意すべき主要なリスクをまとめたものです。ここでは各リスクを分かりやすく説明し、簡単な例と対策を示します。
A01: Broken Access Control（アクセス制御の不備）
不正なユーザーが他人のデータや機能にアクセスできる問題です。例：URLを書き換えて管理画面に入れる。対策：役割に基づくアクセス制御を厳しく検証します。
A02: Cryptographic Failures（暗号化の失敗）
データを安全に保てない状態です。例：平文でパスワードを保存する。対策：強いアルゴリズムで暗号化し、鍵管理を徹底します。
A03: Injection（インジェクション）
外部入力が命令として実行される問題です。例：検索欄にSQLを入れてデータを抜かれる。対策：入力の検証とパラメータ化されたクエリを使います。
A04: Insecure Design（安全が確認されない不安な設計）
最初の設計段階でセキュリティを考慮していない問題です。例：脅威モデルがないまま機能を追加する。対策：設計時に脅威分析を行い安全目標を定めます。
A05: Security Misconfiguration（セキュリティ設定の不備）
デフォルト設定や不要な機能が残ることです。例：管理用のデバッグモードが有効。対策：不要な機能を無効化し設定を定期確認します。
A06: Vulnerable and Outdated Components（脆弱な・古い部品）
古いライブラリやプラグインが狙われます。例：既知の脆弱性があるライブラリを使う。対策：依存関係の自動更新と監視を行います。
A07: Identification and Authentication Failures（認証・識別の失敗）
ログインやセッション管理が弱い問題です。例：パスワードリセットの仕組みが簡単に突破できる。対策：多要素認証と安全なセッション管理を導入します。
A08: Software and Data Integrity Failures（ソフトウェア・データの整合性）
更新やデプロイ時に改ざんされる恐れです。例：コードの署名がない外部アーティファクトを使う。対策：署名、検証プロセス、CI/CDの保護を行います。
A09: Security Logging and Monitoring Failures（ログと監視の不備）
攻撃を検知できないと対応が遅れます。例：重要なイベントを記録していない。対策：適切なログ記録と監視体制を整え、アラートを設定します。
A10: Server-Side Request Forgery (SSRF)
サーバーが攻撃者の指定先へリクエストを送る問題です。例：外部URLを読み込む機能で内部ネットワークにアクセスされる。対策：許可されたホストのみアクセス許可し入力を検証します。
これらは業界で広く認識されたリスクです。各項目に対策を組み込むことで、脆弱性を大幅に減らせます。
