2019 年 OWASP API Security Top 10 レポート

API (アプリケーション・プログラム・インターフェース) は、すべての業界の企業にとって不可欠なツールです。多くの領域で API の使用が増加しており、API は最新のモバイル、SaaS、Web アプリケーションの重要な部分を構成しています。そのため、API セキュリティーの重要性について周知し、API に固有の脆弱性を公開することが、Web アプリケーションの場合以上に求められています。OWASP API Security Top 10 レポートは、開発者、テスター、ユーザーだけでなくプロジェクト・マネージャー、セキュリティー研究者、教育者が、API 関連の最も重大な最新のセキュリティーの脆弱性に関するインサイトを得るのに役立ちます。

問題点

API に対する脅威のランドスケープは常に変化しています。API は、アプリケーション・ロジックや個人情報 (PII) などの機密データを公開するため、アタッカーのターゲットになります。これらの要因は API の分析を困難にするだけでなく、脅威のランドスケープを大幅に変化させる原因となり得ます。こうした変化に対応するため、OWASP 組織が 2019 年 12 月 31 日にリリースした OWASP API Security Top 10 レポートでは、API の固有の脆弱性とセキュリティー・リスクを理解し、軽減するための戦略とソリューションに焦点を当てています。

OWASP API Security Top 10 脆弱性

ID	名前
API1	オブジェクト・レベルの権限の不備
API2	ユーザー認証の不備
API3	データの過剰な露出
API4	リソース不足とレート制限
API5	機能レベルの権限の不備
API6	一括割り当て
API7	セキュリティーの構成ミス
API8	Injection (注入)
API9	不適切な資産管理
API10	Insufficient Logging and Monitoring (不完全なロギングとモニター)