個人学習プロジェクト 「Security Learning Lab（SLL）」 の学習記録です。
今回は、Phase6「Security」の入り口として、OWASP Top10の最新版を学び、これまでの実践がどう対策に繋がっていたかを整理した内容についてまとめます。
学習時間
約1〜2時間
今日やったこと
- OWASP Top10の最新版(2025年版)を調査し、2021年版からの変更点を確認
- 10項目の全体像(A01〜A10)を整理
- A02(セキュリティ設定ミス)について、これまでのSLLでの実践との繋がりを整理
- AWSの侵入テストポリシーについて、自分が管理するEC2環境であれば診断ツール使用に問題がないことを確認
- S3バケットのアクセス許可設定を再確認し、パブリックアクセスブロックが維持されていることを確認
学習内容
OWASP Top10:2025の主な変更点
2025年11月発表、2026年1月確定の最新版では、2021年版から大きな改訂があった。新設カテゴリーとして「ソフトウェアサプライチェーンの失敗」(A03)と「例外処理の不備」(A10)が加わり、SSRFは独立項目ではなくアクセス制御の不備(A01)に統合された。またセキュリティ設定ミスが5位から2位に急上昇しており、クラウドやコンテナの設定ミスが攻撃者にとって狙いやすい標的になっている実態を反映している。
OWASP Top10の抽象度について
OWASP Top10は「意識向上のための文書」であり、直接テストできる技術仕様書ではない。OWASP ASVS(検証項目の詳細)やOWASP Testing Guide(実践手順)、実際のスキャンツールという、より具体的な文書・手段が階層的に存在しており、Top10はその中でも最も抽象度の高い「大分類」の位置づけになる。
A02(セキュリティ設定ミス)とこれまでの実践の繋がり
セキュリティグループでSSHを自分のIPのみに制限したこと、S3のパブリックアクセスをすべてブロックしたこと、SiteGuardでログインページURLを変更したことなど、これまでSLLで実践してきた対策の多くが、実はA02(セキュリティ設定ミス)への対策そのものだったと整理できた。
AWSの侵入テストポリシー
AWSでは「許可されたサービス」に該当するリソース(EC2など)について、事前承認なしにセキュリティ評価やペネトレーションテストを実施できる。ただしDoS攻撃やC2を伴うテストは対象外で、AWSインフラ自体への評価も許可されていない。自分が管理するリソースへの一般的な脆弱性スキャンであれば、この範囲内で問題なく実施できる。
困ったこと・つまずいたこと
特になし。今回はスムーズに進められた。
今日の学び・気づき
- OWASP Top10の内容が想像以上に抽象的だと感じたが、それが「設計思想レベルの問題まで含む、意図的な抽象度」だと分かり、腑に落ちる理解ができた
- これまで何気なく行ってきたセキュリティ設定(パブリックアクセスのブロックなど)が、実はOWASP Top10の重要カテゴリーへの対策そのものだったと気づき、これまでの積み重ねが体系立った知識と繋がる感覚を得られた
- 設定は一度正しく行っても時間とともに変わり得るという「設定ドリフト」の考え方を知り、今回のS3設定の再確認自体が実務的な定期監査の疑似体験になっていたと実感した
今日の達成
OWASP Top10理解
OWASP Top10:2025の全体像を把握し、これまでの実践との繋がりを整理した。
次回やること
- OWASP ZAPなど実際の診断ツールを使った脆弱性診断の実践
今日のひとこと
仕事がらOWASP Top10は知っていたし、ある程度は把握していた。けれど、Top10への対策として実際にどのような作業を行うべきかまではイメージがついていなかった。今日の学習で、その一端を知ることができたように思う。
