OWASP基準の防御設計支援
そのWebサイト、何を守り、どこまで守るかを
OWASPの基準に沿って決めていきます。
脆弱性を見つけるだけでは、守れない
/01脆弱性診断を受けて指摘の一覧をもらったものの、どれから直すべきか分からない。あるいは指摘は塞いだが、次に何を作るときも同じ問題を繰り返してしまう。よくある状態です。
本サービスは、OWASP Top 10 および OWASP ASVS を共通のものさしとして、「このサイトは何を守るのか」「どのレベルまで守るのか」を先に決めます。基準が決まれば、個々の指摘に対する判断は自動的に決まります。
検出で終わらせず、設計と運用に落とすところまで伴走します。
対象
/02次のような状況にある組織・サイトを想定しています。
01脆弱性診断の結果を持て余している
指摘は受け取ったが、対応の優先順位や「どこまでやれば十分か」を判断できていない。
02これから新しくWebサービスを作る
作ってから直すのではなく、設計段階でセキュリティ要件を決めておきたい。
03外部の開発会社に委託している
発注側としてセキュリティ要件を提示したいが、何をどう書けばよいか分からない。
04既存サイトの守り方が場当たり的
都度対応を重ねてきた結果、全体としてどこが弱いのか把握できていない。
診断項目
/03OWASP Top 10 のカテゴリに沿って、設計と実装の両面から確認します。
認証・認可・セッション
- アクセス制御の設計（権限昇格・IDOR の余地）
- 認証まわりの強度とアカウントロック方針
- セッション管理・Cookie 属性の設定
- 多要素認証の適用範囲の妥当性
入力と出力の扱い
- SQL/OS コマンド等のインジェクション対策
- クロスサイトスクリプティング（XSS）と出力エスケープ方針
- ファイルアップロードの検証と保存先設計
- サーバーサイドリクエストフォージェリ（SSRF）の経路確認
設定・構成
- セキュリティヘッダおよび TLS 設定
- 不要な機能・エンドポイント・管理画面の露出
- エラーメッセージやデバッグ情報の漏えい
- 利用ライブラリの既知脆弱性と更新方針
設計・運用プロセス
- 守るべき資産と想定脅威の整理（脅威モデリング）
- ログ・監視の設計と検知可能性
- リリース前チェックの仕組み
- インシデント時の対応手順
進め方
/04現状把握 → 基準の決定 → 設計への反映、の順で進めます。
お問い合わせ・スコープ確認
対象サイトの規模・構成と、守りたいものを伺い、進め方をご提案します。
現状把握
既存の診断結果・設計資料・構成情報を確認し、必要に応じて追加の確認を行います。
防御設計
OWASP Top 10 / ASVS を基準に、このサイトで満たすべき水準と具体的な対策方針を定義します。
報告・実装への落とし込み
開発チームがそのまま作業できる粒度に落とし、必要に応じて実装方針のレビューまで行います。
期間・費用は対象サイトの規模により変わります。まずはご相談ください。
成果物
/05開発チームがそのまま動ける形でお渡しします。
防御設計方針書
このサイトで何をどこまで守るかを、OWASP の基準と紐づけて明文化した資料。
対策一覧と優先順位
実施すべき対策を、影響度と実装コストの両面から並べたリスト。
実装ガイドライン
開発者が参照できる具体的な実装方針。コード例を含めてお渡しします。
リリース前チェックリスト
今後のリリースで繰り返し使える確認項目。仕組みとして定着させるための土台です。