侵害につながる脅威を、わかりやすく解説。
本当に重要なWebセキュリティの脅威を、平易な言葉で解説するガイド。それぞれが何なのか、攻撃者が何を奪えるのか、そしてどう止めるのか。検索し、学び、そして自分のサイトをスキャンして、どれに該当するか確かめましょう。
- 専門用語なしの平易な言葉
- 攻撃者が奪えるもの
- 深刻度がひと目でわかる
- サイトを無料でスキャン
小さなWebアプリを実際に襲う脅威。
ほとんどのサイトは目新しいエクスプロイトで侵入されるわけではありません。いつも同じ少数のミスで破られます。クライアントコードに漏れた鍵、ユーザー入力を信頼するエンドポイント、公開のままのストレージバケット、レート制限のないログインなどです。これは私たちが最もよく目にするWebセキュリティ上の脅威を、平易な言葉で、深刻度順にまとめたリファレンスです。攻撃者が得るものと、それぞれをどう塞ぐかを示します。検索するか、自分のサイトをスキャンして、どれが当てはまるかを確認してください。
それは何か。 ユーザー入力がそのままデータベースクエリに連結され、攻撃者がクエリを書き換えられてしまう。
攻撃者が奪えるもの。 データベース全体：ユーザー情報、パスワードハッシュ、注文、保存されているすべて。
Defenso がどう止めるか。 マネージド WAF がインジェクションのペイロードをブロックし、スキャナーが危険なクエリを修正付きで指摘します。
それは何か。 本物の鍵や .env がコードにコミットされていたり、本番サイトに露出していたりする。
攻撃者が奪えるもの。 クラウドアカウント、決済プロバイダー、データベースへのフルアクセスが、数分で。
Defenso がどう止めるか。 リポジトリとサイトのスキャンが露出した鍵を見つけ、各検出結果がローテーション方法を教えます。
それは何か。 ログインチェックのないままリリースされたルートに、誰でも直接アクセスできてしまう。
攻撃者が奪えるもの。 そのルートが露出するすべて：管理画面、他のユーザーのデータ、内部操作。
Defenso がどう止めるか。 ペンテストが無防備なルートを探り、WAF が機密パスをゲートできます。
それは何か。 S3 やストレージのバケットが、誰でも読み取れるまま放置されている。
攻撃者が奪えるもの。 中のすべてのファイル：顧客のアップロード、バックアップ、請求書、非公開文書。
Defenso がどう止めるか。 リポジトリスキャンが、漏えいする前に公開扱いとなるバケット参照を指摘します。
それは何か。 攻撃者が仕込んだスクリプトが、ユーザーのブラウザで実行される。
攻撃者が奪えるもの。 セッションクッキーとログイン中のアカウント。攻撃者がユーザーになりすませます。
Defenso がどう止めるか。 WAF が反射型・格納型 XSS をブロックし、スキャナーがヘッダーと入力をチェックします。
それは何か。 サーバーが、本来触れるべきでない内部URLを取得するよう仕向けられる。
攻撃者が奪えるもの。 クラウドのメタデータや内部サービス。多くの場合、アカウントの完全乗っ取りへの道。
Defenso がどう止めるか。 WAF が SSRF のペイロードをブロックし、ペンテストがこのパターンをチェックします。
それは何か。 他の侵害で漏えいしたパスワードが、あなたのログインに対して大規模に試行される。
攻撃者が奪えるもの。 侵害されたパスワードを使い回した所有者の、あらゆるアカウント。
Defenso がどう止めるか。 アカウントごとの速度制限とブルートフォース上限が、その洪水を入口で食い止めます。
それは何か。 URL内のidを一つ変えるだけで、他人のレコードを読めてしまう。
攻撃者が奪えるもの。 他のユーザーのデータを、idを一つずつ、ひそかに。
Defenso がどう止めるか。 ペンテストがオブジェクトアクセスのパターンをテストし、露出しているものを指摘します。
それは何か。 あなたのドメイン上のリンクが、ユーザーをひそかに攻撃者のページへ転送する。
攻撃者が奪えるもの。 信頼そのもの。あなた自身のユーザーを説得力たっぷりにフィッシングするのに使われます。
Defenso がどう止めるか。 スキャナーが、あなたのURL内のオープンリダイレクトのパラメータを指摘します。
それは何か。 既知の脆弱性を持つパッケージを、プロジェクトがまだ取り込んでいる。
攻撃者が奪えるもの。 その CVE が許すものすべて。ときにはリモートコード実行まで。
Defenso がどう止めるか。 リポジトリスキャンがすべてのロックファイルを OSV データベースと照合し、修正版も示します。
それは何か。 HSTS、CSP、X-Frame-Options がなく、一般的な攻撃が容易になっている。
攻撃者が奪えるもの。 直接ではないものの、XSS やクリックジャッキングを止めるガードレールが外れます。
Defenso がどう止めるか。 スキャナーがヘッダーを採点し、追加すべき正確な記述を手渡します。
それは何か。 パスワードが平文で保存されていたり、誰でも推測できるトークンだったりする。
攻撃者が奪えるもの。 すべてのパスワードとセッションを、そのまま利用可能。
Defenso がどう止めるか。 スキャンとペンテストが、弱い保存と推測可能なトークンを指摘します。
脅威を理解し、そのまま一か所で塞ぐ。
脆弱性について読むことは、行動に移せて初めて役立ちます。ここでは各項目を、あなたが検索するであろう用語で名付けています。SQLインジェクション、XSS、SSRF、IDOR、クレデンシャルスタッフィング、露出したシークレット、公開バケットです。そのうえで、攻撃者が何を得て、どう直すかを具体的に示します。これはOWASP Top 10とその周辺のvibe codingのミスであり、監査人のためではなく、アプリを公開してこれから守る必要がある人のために書かれています。
Defensoはこれらの脅威に直接対応します。マネージドWAFはアプリの端でインジェクションやトラバーサルの各クラスをブロックし、エンドポイント単位・アカウント単位のレート制限がブルートフォースとクレデンシャルスタッフィングを止めます。ペンテストとリポジトリスキャンは、露出したシークレット、公開ストレージ、脆弱な依存関係、欠けているセキュリティヘッダーを、攻撃者が見つける前に洗い出します。問題のリストだけを渡されて直す手立てがない、ということにはなりません。
これらの脅威のうちどれが当てはまるかを知る最速の方法は、実際に見ることです。無料スキャナーを本番サイトに実行して採点付きの表層レポートを得るか、リポジトリを接続してコード自体の漏れた鍵や危険なパターンを捕捉してください。その後もマネージドWAFと監視が見張り続けるので、公開後に現れる脅威、たとえば新しい依存関係のCVEや新たに露出したルートは、侵害ではなくアラートとしてあなたに届きます。
よくある質問。
始める前によく聞かれることをまとめました。まだ不安ですか？メッセージ一つで解決します。
実際のサイトを最も襲うのは、SQLインジェクション、クロスサイトスクリプティング（XSS）、サーバーサイドリクエストフォージェリ（SSRF）、露出したシークレットとAPIキー、公開状態のストレージバケット、壊れた認証とクレデンシャルスタッフィング、安全でない直接オブジェクト参照（IDOR）、脆弱な依存関係、欠けているセキュリティヘッダーです。上のリファレンスは、それぞれについて攻撃者が得るものと直し方を示しています。
OWASP Top 10と大きく重なります。インジェクション、壊れたアクセス制御、セキュリティの設定ミス、脆弱なコンポーネントなどです。ただし監査人ではなく、アプリを公開したばかりの開発者に向けて書かれています。公開リポジトリにコミットされたシークレットや、大きく開いたままのFirebaseやS3のルールなど、OWASPが直接名指ししない現代のvibe codingのミスも取り上げます。
無料スキャナーを本番URLに実行して採点付きの表層レポートを得てください。TLS、セキュリティヘッダー、露出したファイル、よくある設定ミスを確認します。あるいはリポジトリを接続すれば、スキャンが漏れた鍵や危険なコードパターンを見つけられます。どちらも有料プランに登録せずに使え、レポートは現在どの脅威が当てはまるかを教えてくれます。
両方です。マネージドWAFはインジェクション、トラバーサル、多くのボット主導の攻撃をアプリの端でリアルタイムにブロックし、エンドポイント単位のレート制限がブルートフォースとクレデンシャルスタッフィングを止めます。ペンテストとリポジトリ・アップロードのスキャンは、コードで直すべき問題、つまり露出したシークレット、公開バケット、脆弱な依存関係、弱いヘッダーを報告するので、検知と防御が連携して働きます。
はい。スケジュールされたスキャンがサイトを再チェックし、スキャンの合間に新しい検出が現れたとき、たとえば新たに露出したルートや新しいCVEを持つ依存関係があると、DefensoはメールやSlack、Telegram、スマホアプリでお知らせします。変化を侵害の後に見つけるのではなく、アラートとして把握できます。
あなたにあるのはどれ？
脅威について読むのと、実際に確かめるのは別のこと。自分のサイトを無料でスキャンして、どれがあるのかを、それぞれの修正付きで正確に確認しましょう。