Coders Conquer Security OWASP トップ 10 API 4k-Waid-Keady/740-mdey/f

このリストにある脆弱性のほとんどはAPIに固有のものですが、セキュリティ機能の無効化/デバッグ機能の有効化/不適切な権限の問題はどこでも起こり得ます。API ではこの問題の方が少し多いようですが、攻撃者はパッチが適用されていない欠陥や保護されていないファイルやディレクトリをネットワーク内のどこからでも見つけようとすることがよくあります。デバッグが有効になっているか、セキュリティ機能が無効になっている API に出くわすと、悪質な作業が少し楽になります。さらに悪いことに、セキュリティの設定ミスを検出して悪用するための自動化ツールが利用できるため、ご使用の環境内にツールがあると、悪用される可能性が高くなります。そのため、この脆弱性がOWASPの危険なAPI欠陥のリストに載りました。

本題に入る前に、このデバッグの課題を解決できるかどうかを確認してください。

無効化されたセキュリティ機能/デバッグ機能の有効化/不適切な権限の欠陥は、どのようにしてAPIに侵入するのでしょうか？

この多次元APIの欠陥がどのようにネットワークに追加されるかを確認するには、それを構成要素に分解する必要があります。まず、デバッグ機能が有効になっているという問題から始めましょう。デバッグは、アプリケーションが正しく動作していない理由やエラーが発生している理由を開発者が理解するのに役立つ便利なツールです。デバッグを有効にすると、エラーや例外によって詳細なエラーページが生成されるので、開発者は何が問題だったのかを確認して問題を解決できます。アプリケーションの開発中にこれをアクティブにしてもまったく問題ありません。

ただし、ほとんどのフレームワークに、本番環境（おそらくデバッグがアクティブになっているコード内）でデバッグモードを実行することに関する警告が表示されるのには理由があります。例えば:

# セキュリティ警告:本番環境ではデバッグを有効にして実行しないでください!
デバッグ = 真

この例では、デバッグが有効になっています。Django アプリケーションは例外が発生すると詳細なエラーページを生成します。これが本番環境で行われると、攻撃者は環境に関するメタデータ情報を含むこれらのエラーページにアクセスすることになります。ほとんどのフレームワークではデバッグはデフォルトでオフになっていますが、長時間の開発プロセス中にデバッグを有効にした場合、デバッグをオフにするのを忘れがちです。その後、アプリケーションが本番環境に移行すると、攻撃者はアプリケーション、あるいはサーバーやネットワーク全体を危険にさらす方法に関する多くの情報を得ることができます。

デバッグモードを有効にすることは主にスタンドアロンの問題ですが、不適切な権限と無効なセキュリティ機能の脆弱性はしばしば連動します。たとえば、OWASP が提供した実際のシナリオでは、攻撃者が検索エンジンを使用して、誤ってインターネットに接続されたデータベースを検索しました。一般的なデータベース管理システムはデフォルト構成を使用していたため、認証は無効になっていました。そのため、攻撃者は、不適切な権限と無効になっているセキュリティ機能の脆弱性を組み合わせることで、PII、個人設定、認証データを含む何百万ものレコードにアクセスできるようになりました。

無効になっているセキュリティ機能/デバッグ機能の有効化/不適切な権限の脆弱性の排除

この脆弱性を排除するには、おそらく二面的なアプローチが必要です。問題のデバッグが有効になっている部分を取り除くには、API またはアプリケーションを本番環境に移行する前に、開発プロセスにチェックを追加してデバッグが無効になっていることを確認するだけです。この例からすると、そのための適切なコマンドは次のようになります。

# セキュリティ警告:本番環境ではデバッグを有効にして実行しないでください!
デバッグ = 偽

これで、Django アプリケーションのデバッグ機能は DEBUG フラグが False に設定された状態で無効になります。エラーに対するエラーページは生成されません。それでも攻撃者がエラーページにアクセスしても、有用なメタデータは含まれず、アプリケーションにリスクをもたらすこともありません。

無効になっているセキュリティ機能や不適切な権限の脆弱性を排除することは、特定の脆弱性が広範囲に及ぶ可能性があるため、少し難しいです。これらの脆弱性を防ぐ最善の方法は、ロックダウンされた資産を本番環境に迅速かつ簡単に展開できるように、標準的で反復可能なプロセスを開発することです。

その場合でも、オーケストレーションファイル、API コンポーネント、Amazon S3 バケット権限などのクラウドサービスが常に確認および更新されるプロセスを作成する必要があります。また、このレビューでは、組織が常に API セキュリティを向上させていることを確認するために、環境全体にわたるセキュリティ設定の全体的な有効性を経時的に評価する必要があります。

をチェックしてください セキュア・コード・ウォリアー この脆弱性や、他のセキュリティ上の欠陥による被害から組織や顧客を保護する方法についての詳細な情報については、ブログページをご覧ください。また、次のこともできます。 デモを試す Secure Code Warriorトレーニングプラットフォームで、すべてのサイバーセキュリティスキルを磨き、最新の状態に保ちましょう。