Web セキュリティ担当者のための脆弱性診断スタートガイド 第 2 版 上野宣が教える新しい情報漏えいを防ぐ技術

『Web セキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術』は 2016 年 8 月 1 日に初版が刊行されて 2 年が経ちました。日々変更されるセキュリティリスクに対応するため、さまざまな項目が見直されています。本書でも最新の状況に対応するため、OWASP Top 2017 に沿って内容を一新いたしました。改訂版では、改訂されたガイドラインの解説、追加された脆弱性の説明、診察する箇所の見直し、診断ツールの最新版に対応などを行っています。

本書は Web アプリケーションの脆弱性をチェックするための解説書です。Web アプリケーションはユーザーの個人情報や商品情報など重要な情報を扱っています。Web アプリケーションの開発者がセキュリティに自信がある場合でも、開発者の勘違いや設計ミスなどがあることで Web アプリケーションに侵入・改ざんなどが行われ、個人情報が盗まれる恐れがあります。

本書では Web アプリケーションの開発に必要なセキュリティを確認するための脆弱性診断についてまとめています。脆弱性診断を行う際のスタンダードツールとなっている OWASP ZAP と Burp Suite を使用することで、開発者やセキュリティ担当者がセキュリティに問題がないかを検査することができます。

本書の前半では、Web アプリケーションがどのような仕組みで通信をし、脆弱性がどのようなものかといった診断に必要なネットワークの知識を学んでいきます。後半では、実際に問題がある BadStore という Web アプリケーションを使用し、仮想マシン上で実際に手を動かしながら脆弱性診断の手法を学んでいきます。診断の仕方は OWASP ZAP を使用して自動的に脆弱性診断を行う方法と、Burp Suite を使用して手動でフォームなどのパラメータに検査パターンを挿入し診断する方法など様々な手法を解説しています。また、脆弱性診断を行う際に便利な脆弱性診断ガイドラインも付いています。

著者の上野宣は OWASP Japan の代表であり、脆弱性診断の第一人者です。脆弱性診断の手法を身に付けることで、セキュリティを客観的に判断することができますので、Web アプリケーションの開発者だけでなく、経営者の方にもおすすめの 1 冊です。

Web アプリケーションに脆弱性が残っていないかを、診断ツールを使って自分たちで確かめる方法を一通り学べる入門書が『Web セキュリティ担当者のための脆弱性診断スタートガイド 第 2 版』 (上野 宣 著、翔泳社、2019 年 2 月刊) です。副題は「上野宣が教える新しい情報漏えいを防ぐ技術」で、2016 年 8 月に刊行された初版の改訂版にあたります。版元の紹介によれば、OWASP の Top 10 の 2017 年版に沿って内容を一新し、改訂されたガイドラインの解説、追加された脆弱性の説明、診断する箇所の見直し、診断ツールの版の更新を行っています。著者は刊行時点で OWASP Japan の代表と紹介されており、版元は Web アプリケーションの開発者やセキュリティ担当者に加えて、経営者にも薦めています。

基礎編と実践編の構成、HTTP の基本から診断報告書まで

本書は基礎編、実践編、付録の 3 つに分かれています。基礎編の第 1 章「脆弱性診断とは」は、診断を脆弱性を発見するためのテスト手法として位置づけ、診断士に必要な知識や技術と求められる倫理観までを扱います。第 2 章で HTTP と TCP/IP、DNS、URL といった診断に必要な通信の基本を押さえ、第 3 章ではインジェクション、認証、セッション管理の不備、情報漏えいなどに分けて Web アプリケーションの脆弱性を説明します。第 4 章が診断業務の流れと実施前の準備、第 5 章が診断ツールと Web ブラウザー、実習環境のセットアップです。実践編に入ると、第 6 章で自動診断ツールの OWASP ZAP、第 7 章で手動診断補助ツールの Burp Suite を使った診断を学び、第 7 章には診断リストの作成や、より多くの脆弱性を発見するためのヒント集も含まれます。第 8 章は総合評価とリスク評価を含む診断報告書の作成、第 9 章は脆弱性診断に関連する法律やルール、基準を扱い、付録は Oracle VM VirtualBox による実習環境のセットアップです。版元の紹介では、実習には意図的に問題を抱えた BadStore という Web アプリケーションを仮想マシン上で使うと説明されています。

自動診断と手動診断を組み合わせる意味

脆弱性診断のツールには、大きく分けて 2 つの役割があります。ひとつは、記録したリクエストに検査用の値を機械的に差し込み、応答の変化から問題の候補を洗い出す自動診断です。網羅的に速く回せる反面、画面遷移の順序に依存する処理や、権限ごとに見える情報が変わるといった業務の文脈は読み取れません。もうひとつは、ブラウザーとサーバーの間に入るプロキシでリクエストを捕まえ、パラメーターを人が書き換えて挙動を確かめる手動診断で、認可の抜けやセッション管理の不備のように仕様を理解していないと見つからない問題に強い方法です。SQL インジェクション のような入力値の扱いの誤りはどちらの方法でも手がかりを得られますが、誤検知を除いて本当に悪用できるかを判断するには、第 2 章で扱う HTTP の理解が欠かせません。本書が通信の基本と脆弱性の分類を先に固め、自動診断の第 6 章、手動診断の第 7 章、報告書の第 8 章という順に進むのは、こうした役割分担を実務の流れに沿って学ぶ並びと読めます。

開発者が自社サービスを点検する入口として向く人、向かない人

この本が役立つのは、自社の Web サービスを外部の診断に出す前に自分たちで一次点検したい開発者や、診断会社から届く報告書の意味を読み解けるようになりたいセキュリティ担当者です。第 1 章で倫理観、第 9 章で関係法令を扱っているとおり、診断は許可を得た対象にだけ行うものであり、本書も手元の仮想マシンに用意した実習環境で練習する形をとっています。一方で、2019 年の刊行のため、OWASP Top 10 は 2017 年版が前提で、OWASP ZAP や Burp Suite の画面や操作も刊行時点の版に基づきます。ツールの細かな操作手順は、各ツールの公式の文書と突き合わせながら読む前提で考えるのが安全です。また、ネットワーク層やクラウドの設定の診断、ソースコードを読む検査は目次の範囲に入っていません。

セキュリティ分野の本を診断、設計、運用のどこから読むか迷っている場合は、セキュリティ技術書の選び方 で全体の地図を確認できます。そのうえで、診断の考え方から報告書の書き方までを 1 冊で通して体験したい人にとって、実習環境を自分で組み、自動と手動の両方の診断を手順どおりに試せる本書は、脆弱性診断の最初の一歩として手堅い選択です。