6 Web Application Security Best Practices

最新のWebアプリケーションを理解する

最新のWebアプリケーションは、eコマースプラットフォーム、顧客関係管理(CRM)システム、社内の基幹業務ツール、アプリケーションプログラミングインターフェイス(API)などを強化します。 それらは複雑で、相互に関連しており、隠れた攻撃対象領域に満ちています。

大まかに言うと、最新の Web アプリは複数のコンポーネントで構成されています。

• クライアント側: プレゼンテーション層は、HTML、CSS、および JavaScript ライブラリのさまざまな組み合わせで構築され、動的なユーザー インターフェイス (UI) を構築します。
• サーバー側: クライアント要求の処理、ビジネスロジックの実行、応答の生成、API の公開を行うサーバー側のアプリケーションコードとサービスを含むビジネスロジックレイヤー。
• データベース： データストレージレイヤーは、多くの場合、複数の分散データベースシステムで構成され、Webアプリケーションがビジネス情報と顧客情報を保存および管理します。
• インフラ： Simple Webアプリケーションは、多くの場合、単一のサーバーまたはVMにデプロイされます。 複雑なクラウドベースのアプリケーションは、複数の仮想マシン (VM)、サーバーレス コンピューティング機能、コンテナー、マネージド データベースにまたがる場合があります。
• サービス： Webアプリケーションは、コンテンツ配信ネットワーク(CDN)、メッセージキュー、検索エンジン、監視ツールやロギングツールなど、さまざまなサードパーティサービスに依存している場合があります。
• 安全： 最新のWebアプリケーションは、多くの場合、IDおよびアクセス管理(IAM)システム、ネットワークファイアウォール、侵入検出システム(IDS)、Webアプリケーションファイアウォール(WAFs)または WAFaaSなどの高度なセキュリティソリューションに依存しています。

6 Web Application Security Best Practices

ここでは、Webアプリケーションを攻撃から守るための6つの重要なプラクティスを紹介します。

#1:入力の検証とサニタイズ

インジェクション攻撃には、次のようなさまざまな形態があります。

• SQLインジェクション
• コマンドインジェクション
• XSS 攻撃

このようなインジェクション攻撃やその他の形態のインジェクション攻撃から保護するには、慎重な入力検証とサニタイズが必要です。 ユーザー入力は、想定される形式とデータ型に準拠していることを確認するために検証する必要があります。 たとえば、データ入力は、有効な値を許可する許可リストや、既知の有害なパターンを拒否するブロックリストと照合する必要があります。

サニタイズ技術には、特殊文字の削除またはエスケープ、および文字入力サイズを制限するための長さチェック/トリミングが含まれます。 また、Webアプリケーションは、 SQLインジェクション攻撃を防ぐために、データベースとの対話にプリペアドステートメントまたはパラメータ化されたクエリを活用する必要があります。

#2:HTTPS

HTTPSは、ユーザーのブラウザ(クライアント)とWebアプリケーション(サーバー)の間で送信される情報を暗号化し、データの認証と保護に重要な役割を果たします。

Transport Layer Security(TLS)バージョン1.3+暗号化アルゴリズムを使用すると、それが保証されます。

攻撃者がデータパケットの傍受に成功した場合でも、復号化キーがなければデータを解読することはできません。 信頼できる認証局(CA)から有効なSecure Sockets Layer(SSL)/TLS証明書を取得すると、盗聴、 中間者(MitM )攻撃、セッションハイジャックなどの潜在的な脅威を防ぐことができます。

#3:データ暗号化

Webアプリケーションは、通常、次のような機密データを保存します。

• 独自の会社情報
• クライアントデータ

暗号化により、このデータのセキュリティが確保されます。 Advanced Encryption Standard(AES)やRivest-Shamir-Adleman(RSA)などの堅牢なデータ暗号化アルゴリズムを使用することで、攻撃者がストレージデバイスやデータベースにアクセスした場合でも、それを読み取ることはできません。

AES と RSA はどちらも、フィールド レベルでデータベース内の個々のファイルまたはデータ フィールドを保護するため、ボリューム レベルでストレージ デバイス全体を暗号化するため、またはデータベース レベルでデータベース ストレージ ボリュームに保持されているデータを自動的に暗号化および復号化するために使用できます。

#4:最小特権の原則(PoLP)

最小特権は 、コンピューター セキュリティの基本的な概念です。 PoLPは、ユーザーが意図したタスクを実行するために必要な最小限の権限を付与することを推奨しています。

Webアプリケーションのコンテキストでは、PoLPはWebアプリケーションシステムを構成するサブシステム、自動化サービス、およびユーザーアカウントに適用されます。 コードによるものであれ、構成によるものであれ、これらのコンポーネントには、その機能を実行するために必要な最小限のアクセス許可のみを付与し、それ以上の権限を付与することはできません。

これにより、サブシステムが侵害された場合に損害が広がる可能性が減り、インシデント中にユーザーまたはサービス アカウントが侵害された場合の特権昇格を防ぐことができます。

#5:出力エンコーディング

Webアプリケーションは、ユーザーからデータ入力を受け取り、その入力をアプリケーションのページ内に再表示する場合があります。 このよく知られた例は、ユーザーコメント機能です。

XSSは、コメントフォームなどのユーザー入力ベクトルのセキュリティ脆弱性を悪用するインジェクション攻撃の一般的な形式です。 出力エンコードは、ユーザー提供のデータに悪意のあるスクリプトが存在する場合に悪意のあるスクリプトが実行されるのを防ぐ方法でデータをエンコードすることで、Webアプリケーションを保護します。

たとえば、出力エンコーディングでは、山括弧文字の [<] と [>] を変換して、実行可能な< and > HTML 命令ではなくプレーンテキストとして表示されるようにすることで、悪意のある可能性のある<script> JS コードを含む タグを中和できます。

#6: アクセス制御と認証

Webアプリケーションには、さまざまなユーザーアカウントタイプがあり、それらへのアクセスにはさまざまな認証方法に依存しています。 これらのアカウントの役割、権限、認証プロセスを保護することで、データ侵害のリスクが軽減されます。

強力なパスワードポリシー、 多要素認証 (MFA)の使用、アカウントロックアウトポリシーなどの認証メカニズムは、ユーザーIDの検証と保護に役立ちます。

承認制御の実装により、次のような機密データや機能への不正アクセスが制限されます

• 属性ベースのアクセス制御 (ABAC)
• ロールベースのアクセス制御 (RBAC)
• 強制アクセス制御 (MAC)

堅牢な認証制御と承認制御の組み合わせにより、最小特権の原則が適用され、データ侵害のリスクが軽減され、昇格された権限を持つアカウントへのアクセスが制限され、アプリケーション内のユーザーアクティビティの監査証跡が容易になります。