introduction to OWASP's documentation 20250607
0 likes82 views
This is an introduction to OWASP's documentation.
introduction to OWASP's documentation 20250607
- 1. OWASP FOUNDATION ® OWASP NagoyaChapter Meeting 第39回 OWASPドキュメント紹介 2025.06.07(Sat) 丹羽 雪晴
- 2. OWASP FOUNDATION owasp.org 本日の内容 • 初学者向けにOWASPドキュメントを幅広く紹介 • 業務や趣味の活動でOWASPドキュメントを思い出し て、使ってもらいたい • ドキュメントの詳細までは紹介できないため、興味を 持って、学んでもらいたい
- 3. OWASP FOUNDATION owasp.org もくじ • OWASPドキュメントとは • OWASP Projectsカット • ソフトウェア開発プロセス(SDLC)カット • ちょっとのぞいてみよう • Top 10 Series • OWASP Cheat Sheet Series • Threat Dragon
- 4. OWASP FOUNDATION owasp.org OWASPドキュメントとは • プロジェクトは、全部で378（2025年6月1日現在） • 全てオープンソース で作られていますので、だれでも、自由に使う ことができます
- 5. OWASP FOUNDATION owasp.org OWASPドキュメントとは • どんな人にとって有用なのか？ • セキュリティにかかるすべての人です。 • 様々な業種・役割の人にとって役立つドキュメントがあります。 • 開発者、ペンテスター、アーキテクト、PM、CISO、運用担当者、リスクマネジメント 等
- 6. OWASP FOUNDATION owasp.org OWASPドキュメントとは • ドキュメントの探し方は様々あります • OWASP projectsカット • ソフトウェア開発プロセス（SDLC）カット • ニュース、新しいものカット
- 7. OWASP FOUNDATION owasp.org OWASP Projectsカットで見てみよう https://owasp.org/projects/
- 8. OWASP FOUNDATION owasp.org OWASP Projectsカットで見てみよう • OWASP Projectsは3つに分類されます • Flagship Projects（15個） • Production Projects（9個） • Other Projects
- 9. OWASP FOUNDATION owasp.org Flagship Projects • 最も成熟しており、広く認識されているプロジェクト • OWASP Top 10 • Webアプリケーションセキュリティにおける最も重大なリスクのリスト • OWASP Application Security Verification Standard (ASVS) • Webアプリのセキュリティ要件と検証基準を定義したフレームワーク • OWASP Cheat Sheet Series • 特定のトピック（SQLi対策、XSS防御、認証 等）のベストプラクティス • OWASP Web Security Testing Guide (WSTG) など • 脆弱性をテストするための詳細な手順と手法をまとめた技術的なガイド
- 10. OWASP FOUNDATION owasp.org 各ドキュメントの関係性 Top 10 • 何が危険か • 羅針盤 • 意識向上 ASVS • どうすれば安全か • 要件定義 • 品質保証 Cheat Sheet Series • どう対策するのか • 対策方法 WSTG • どう検証するか • 検証方法
- 11. OWASP FOUNDATION owasp.org Production Projects • フラグシップの次に成熟、実運用に耐えうる成果物を提供 • 特定のセキュリティニーズに対応 しているものが多い • OWASP API Security Project など • APIは現在のスマホ、SaaS、Webアプリにとって不可欠なもので あり、安全なAPIを提供するためのプロジェクト • API Security Top 10 2023
- 12. OWASP FOUNDATION owasp.org Other projects • Lab Projects • レビューされてはいるが、まだ開発中のプロジェクト • OWASP WebGoat • OWASP Threat Dragon など • Projects Needing Website Update • Incubator projects • 新しいアイデアやコンセプトを検証中段階 • OWASP SBOM Forum • OWASP LLM Security Verification Standard など
- 17. OWASP FOUNDATION owasp.org OWASP Top 10:2021 • Webアプリにおけるリスクが高い もの ≠ 脆弱性 • A01 アクセス制御の不備 • A02 暗号化の失敗 • A03 インジェクション • A04 安全が確認されない不安な設計 • A05 セキュリティの設定ミス • A06 脆弱で古くなったコンポーネント • A07 識別と認証の失敗 • A08 ソフトウェアとデータの整合性の不具合 • A09 セキュリティログとモニタリングの失敗 • A10 サーバーサイドリクエストフォージェリ (SSRF)
- 18. OWASP FOUNDATION owasp.org OWASP Top 10勉強会＠OWASAP Nagoya • OWASAP NagoyaではTop10をテーマにした勉強会 を開催 ＜過去の開催＞ • #35 2024/08/23(金) • A04:2021 – 安全が確認されない不安な設計 • A05:2021 – セキュリティの設定ミス • #29 2023/02/17(金) • A2:2021 – 暗号化の失敗 • A03:2021 – インジェクション • #25 2022/04/15(金) • A01:2021 – アクセス制御の不備
- 19. OWASP FOUNDATION owasp.org OWASP Top 10推移 https://www.secure-iv.co.jp/blog/5195
- 20. OWASP FOUNDATION owasp.org OWASP Top 10推移 https://diggle.engineer/entry/owasp_top_ten_2003_2021 Top 10 2025 2024年9月現在のプ ロジェクト状況 • OWASP Top 10:2025のリリース は2025年前半に 発表予定 • データ収集 (現在 - 2024 年 12 月)
- 21. OWASP FOUNDATION owasp.org 様々なTop 10 • OWASP Machine Learning Security Top Ten • OWASP OT Top Ten • OWASP Top Ten • OWASP Cloud-Native Application Security Top 10 • OWASP Data Security Top 10 • OWASP Desktop App Security Top 10 • OWASP DevSecOps Top 10 • OWASP Docker Top 10 • OWASP internet of things top 10 • OWASP Mobile Top 10 • OWASP Non-Human Identities Top 10 • OWASP Top 10 Risks for Open Source Software • OWASP Serverless Top 10 • OWASP Smart Contract Top 10 • OWASP Top 10 CI/CD Security Risks • OWASP Top 10 Client-Side Security Risks • OWASP Top 10 Drone Security Risks • OWASP Top 10 for Large Language Model Applications • OWASP Top 10 for Maritime Security • OWASP Top 10 in XR • OWASP Low-Code/No-Code Top 10 • OWASP Top 10 Privacy Risks
- 22. OWASP FOUNDATION owasp.org ちょっとのぞいてみよう： Cheat Sheet Series
- 23. OWASP FOUNDATION owasp.org 様々なCheat Sheet Series • API Security Cheat Sheet • Authentication Cheat Sheet • Authorization Cheat Sheet • Error Handling Cheat Sheet • JWT Security Cheat Sheet • REST Security Cheat Sheet • Cross-Site Request Forgery (CSRF) Prevention Cheat Sheet • DOM based XSS Prevention Cheat Sheet • SQL Injection Prevention Cheat Sheet • URL Encoding Cheat Sheet • Vulnerability Disclosure Cheat Sheet • XSS Prevention Cheat Sheet
- 24. OWASP FOUNDATION owasp.org Treat Dragon • 脅威モデリング • 脅威モデリングとは、潜在的な脅威を識別し、軽減策を講じるため に、システムの資産、脅威、脆弱性、対策状況を可視化して分析す るプロセス（≒リスクアセスメント） • Treat Dragonは脅威モデリングを行うための補助ツール
- 25. OWASP FOUNDATION owasp.org Treat Dragon：Data Flow Diagram
- 26. OWASP FOUNDATION owasp.org Treat Dragon：脅威の評価
- 27. OWASP FOUNDATION owasp.org Treat Dragon：サマリ
- 28. OWASP FOUNDATION owasp.org まとめ • 多種多様なドキュメントがOWASPにはある • 業務や趣味の活動で使っていただければ幸いです
- 29. THANK YOU Facebook https://www.facebook.com/owaspnagoya E-MAIL owasp758@gmail.com Web https://owasp.org/www-chapter-nagoya/ FOR YOUR ATTENTION X https://twitter.com/owaspnagoya