ソフトウェア脆弱性スナップショットレポートの調査結果

構成ミス

セキュリティの構成ミスは、ネットワークサービス、プラットフォーム、Webサーバー、アプリケーションサーバー、データベース、フレームワーク、カスタムコード、プリインストールされた仮想マシン、コンテナー、ストレージなど、アプリケーションスタックのあらゆるレベルで発生する可能性があります。 このような欠陥により、攻撃者はシステムデータや機能に不正にアクセスできることが多く、場合によってはシステム全体が侵害されることもあります。

セキュリティ設定ミスの蔓延のもう1つの例として、アプリケーションの構成ミスは、OWASP脆弱性トップ10リストで5番目に危険なリスクです。

多くのアプリケーションには、デバッグ機能やQA機能などの開発者機能が付属しており、デプロイ時に非アクティブ化しないと危険なほど安全ではありません。 設定ファイルが適切にロックされていないと、クリア テキスト（誰でも読み取れる暗号化されていないテキスト)が公開される可能性があり、設定ファイルのデフォルト設定がセキュリティを考慮して設定されていない可能性があります。

トランスポート層の保護が不十分

トランスポート層の保護が不十分なセキュリティ上の弱点は、アプリケーションがネットワークトラフィックを保護するための措置を講じていないことが原因で発生します。 認証中にアプリケーションはSSL/TLSを使用することがありますが、多くの場合、アプリケーション内の他の場所でSSL/TLSの使用に失敗し、データとセッションIDが公開されたままになります。

多くのモバイルアプリケーションには、トランスポート層のセキュリティが不十分であるという特有の問題があり、OWASPではOWASP Mobile Top 10 リストのカテゴリを専用にしています。

開発者はどのようにコードを守ることができるか

多層セキュリティアプローチを実装する：静的アプリケーション・セキュリティ・テスト（SAST）などの単一のソリューションに依存するだけでは、構成ミスや情報漏洩などのセキュリティ問題を発見するには不十分な場合があります。 組織は、コーディングの不具合を特定するためにSAST、実行中のアプリケーションを検査するための動的アプリケーション・セキュリティ・テスト、サードパーティのコンポーネントによって導入された脆弱性を特定するためのソフトウェア構成分析、および脆弱性だけでなく構成ミスなどの問題を特定するための侵入テストを組み合わせた多層セキュリティ・アプローチを実装する必要があります。他のテストでは見逃される可能性があります。

セキュリティー・テストを補足する必要があるかどうかを判断する：あなたのチームには、セキュリティ上の不具合をテストするための十分なアプリケーションセキュリティのスキルとリソースがありますか?規制当局や顧客が要求するレベルでソフトウェアをテストする時間はありますか?

オンデマンドのエキスパートによるセキュリティテストでチームを強化できるベンダーを選びましょう

シノプシスは、ペネトレーション・テスト、動的アプリケーション・セキュリティ・テスト、静的アプリケーション・セキュリティ・テスト、モバイル・アプリケーション・セキュリティ・テスト、ネットワーク・ペネトレーション・テスト、レッド・チーム、IoTおよび組み込みソフトウェア・テスト、シック・クライアント・テストなど、あらゆるテスト・サービスを提供しています。

オンデマンドのリソースでチームを強化し、ソフトウェア、ビジネス、顧客を保護するために、ぜひシノプシスにご連絡ください。