OWASP Top 10 2025：更新されたリストの解説（A01〜A10）

OWASP Top 10 2025とは何か、そして何が変わったか

OWASP Top 10は、Webアプリケーションにとって最も重大なセキュリティリスクを順位付けする、コミュニティ主導の啓発文書です。Open Worldwide Application Security Projectが維持しており、提供されたアプリケーションテストのデータと実務者調査をもとに、おおむね3〜4年ごとに更新されます。各版は抽象的な理論ではなく、攻撃者の実際の振る舞いを反映しています。

2025年版はアクセス制御の不備を引き続き首位に据え、個別のバグではなく弱点のカテゴリ全体を扱う方針を維持しています。主な変化は、クラウドやCI/CDにおける安全でない設定への強調、脆弱なコンポーネントにとどまらないソフトウェアサプライチェーンリスクの格上げ、そして静かにデータを漏えいさせたり許可側に倒れたりする、誤った例外・エラー処理への明示的な注目です。

多くの枠組みや規制当局が参照しているため、Top 10は事実上の基準となっています。インドのCERT-Inの監査要求、RBIやSEBIのセキュリティ要件、EUのNIS2やDORA、米国大企業のセキュリティ質問票は、いずれもアプリケーションがこれらのカテゴリに対してテスト済みであることを前提としています。このリストは最低限の範囲であり、ゴールではありません。

A01：アクセス制御の不備

アクセス制御は、認証済みユーザーに何が許可されるかを定めます。URLのIDを書き換えて他顧客のレコードを閲覧する、管理者ロールに昇格する、本来到達できないAPIにアクセスするなど、ユーザーが想定された権限の外で行動できてしまう状態が不備です。近年の版を通じて最も多く、最も影響の大きいカテゴリであり続けています。

対策：既定で拒否し、リクエストごとにサーバー側で認可を強制します。クライアントから渡された識別子や隠しフィールドを信用せず、アクセス対象となる個々のオブジェクトの所有関係を確認します。

A02：セキュリティ設定の不備

設定不備には、安全でない初期設定、有効なまま残された不要機能、詳細すぎるエラーページ、欠落したセキュリティヘッダー、公開状態のクラウドストレージ、未修正または過剰な権限を持つサービスが含まれます。クラウド、コンテナ、CI/CDの拡大により、たった1つの弱い設定がデータを露出させ得る箇所が増えたため、2025年版ではより重視されています。

対策：堅牢化された再現可能な構成ベースラインをコードとして構築し、未使用のコンポーネントと初期アカウントを削除し、稼働環境を継続的にスキャンして、攻撃者に発見される前に逸脱を捉えます。

A03：ソフトウェアサプライチェーンの不備

このカテゴリは、従来の「脆弱で古いコンポーネント」というリスクを、ソフトウェアサプライチェーン全体へと広げます。サードパーティライブラリ、ベースイメージ、ビルドツール、パッケージレジストリ、そしてそれらを組み立てるパイプラインが対象です。侵害された依存関係やビルド工程は、本番に到達する前にアプリケーションへ悪意あるコードを混入させ得ます。

対策：ソフトウェア部品表（SBOM）を維持し、依存関係を固定・検証し、ビルドパイプライン自体を保護して、レビュー済みで完全性が検証された成果物だけがリリースへ昇格するようにします。

A04：暗号化の不備

暗号化の不備は、パスワード、決済情報、医療記録、GDPRやインドのDPDP法の対象となる個人データといった機微なデータが、転送時または保存時に適切に保護されていない場合に生じます。典型的な原因は、暗号化の欠如、脆弱または非推奨のアルゴリズム、ハードコードされた鍵、そして不十分な鍵管理です。

対策：データを分類し、あらゆる通信で強力な暗号化を強制し、機微なデータは最新のアルゴリズムで保存時に暗号化し、鍵はコードや設定ファイルではなく専用のシークレット管理・鍵管理サービスで扱います。

A05：インジェクション

インジェクションは、信頼できない入力がコマンドやクエリとして解釈され、攻撃者がプログラムのロジックを変えられる場合に発生します。SQLインジェクション、NoSQLインジェクション、OSコマンドインジェクション、クロスサイトスクリプティングはいずれもここに含まれます。アプリケーションがデータと命令を分離せずに混在させていることが原因です。

対策：入力をデータとしてバインドするパラメータ化クエリと安全なAPIを使い、厳格な許可リストで入力を検証し、出力を文脈に応じてエンコードして、ユーザー提供のコンテンツが実行されないようにします。

A06：安全でない設計

安全でない設計は、実装ではなくアーキテクチャ自体の欠陥です。送金フローにレート制限がない、パスワードリセット手順が悪用されてアカウントを乗っ取られるなど、そもそも設計されていないセキュリティ対策は、どれほど完璧なコードでも補えません。

対策：早い段階で脅威モデリングを行い、機能要件と並べてセキュリティ要件と悪用ケースを定義し、安全な設計パターンを用いて、後付けではなく設計段階から適切な対策が備わるようにします。

A07：認証の不備

認証の不備は、認証情報の扱いが甘いことで攻撃者にID侵害を許します。脆弱または漏えい済みのパスワードを許容する、ブルートフォース対策がない、セッショントークンが推測可能または適切に無効化されない、多要素認証がない、といった状態です。結果として、アカウント乗っ取りや大規模なクレデンシャルスタッフィングが発生します。

対策：多要素認証を必須にし、パスワードを既知の漏えいリストと照合し、認証エンドポイントにレート制限と監視を適用し、セッショントークンをサーバー側で安全に生成・ローテーション・無効化します。

A08：ソフトウェアとデータの完全性の不備

完全性の不備は、改ざんされていないことを検証しないままコードや重要データを信頼した場合に生じます。署名のない自動更新、信頼できないオブジェクトの安全でないデシリアライズ、完全性チェックなしに成果物を取得するCI/CD工程などです。信頼されたソースを差し替えられる攻撃者は、アプリケーションを支配できます。

対策：デジタル署名によりコード、更新、データの完全性と出所を検証し、厳格な型制御と検証なしに信頼できない入力をデシリアライズしないようにします。

A09：ログ記録とアラートの不備

このカテゴリは、ログ記録・監視・アラートの不足を扱います。多くの侵害が数か月にわたり検知されない理由がここにあります。認証失敗、アクセス制御違反、高額な取引が記録されず、アラートも上がらなければ、進行中の攻撃は防御側から見えません。

対策：調査に足る文脈を伴ってセキュリティ関連イベントを記録し、それらのログを集約して保護し、リアルタイムのアラートとインシデント対応プロセスに接続します。CERT-Inのインド国内180日間ログ保存要件も、この義務を後押ししています。

A10：例外的状況の不適切な処理

2025年版は、アプリケーションがエラーや例外的状況をどう扱うかに明示的な注意を向けています。不十分なエラー処理は、スタックトレース、内部パス、設定情報を攻撃者に漏らすことがあり、またチェックが失敗したときに拒否ではなくアクセスを許可する「許可側への失敗」を招くこともあります。いずれも、境界ケースをセキュリティ事象へと変えてしまいます。

対策：安全側・拒否側に倒れる設計とし、利用者には一般的なエラーメッセージを返しつつ詳細はサーバー側で記録し、正常系だけでなく例外的・想定外の入力を意図的にテストします。

IntelligenceXの支援内容

OWASP Top 10 2025はどこを見るべきかの地図ですが、実際にアプリケーションをこれに対してテストしなければ意味がありません。IntelligenceXはOWASPに準拠した手動主体のサービスで各カテゴリを評価し、開発者がそのまま使える修正指針を提供します。英国、米国、EU、インドのお客様に適したアプローチです。

Webアプリケーション・ペネトレーションテストでは、稼働中のアプリケーションに対してTop 10の全カテゴリを検証します。アクセス制御の不備やインジェクションから、ログ記録および例外処理の不備までを対象とし、概念実証の証跡と無償の修正確認テストを提供します。セキュアコードレビューではソースコード自体を精査し、ブラックボックステストでは見落とされ得る暗号化・インジェクション・完全性の欠陥を捉えます。脅威モデリングはA06「安全でない設計」に正面から取り組み、コードに書かれる前に不足している対策を明らかにします。

インドの規制対象組織にとって、こうしたテストはDPDP法の安全管理義務や、CERT-In、RBI、SEBI、IRDAIの要求に直接対応します。範囲を明確にしておくと、IntelligenceXは助言・評価・準備を担う立場であり、現時点でCERT-Inの認定は受けていません。証書の発行や規制監査への署名は行いません。アプリケーションの評価範囲については当社チームにご相談ください。