トップ   編集 凍結解除 差分 バックアップ 添付 複製 名前変更 リロード   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS

V11 ビジネスロジック検証の要件

Last-modified: 2020-08-10 (月) 14:28:24
Top/V11 ビジネスロジック検証の要件

OWASP ASVS 4.0

管理目標 †

検証対象のアプリケーションが次の高次の要件を満たすことを確認します。

  • ビジネスロジックが正しい順序で処理
  • ビジネスロジックに自動攻撃を検知し防止する制限が実装されている。自動攻撃の例としては，連続的な少額の送金や1度に100万人の友人を追加する，などがある
  • 高い価値を持つビジネスロジックにおいて悪用ケースや悪用する人を想定している。また，なりしまし (spoofing)，改ざん (tampering)，否認 (repudiation)，情報の漏えい (information disclosure)，権限昇格 (elevation of privilege) 攻撃の対策を行っている
↑

V11.1 ビジネスロジックのセキュリティ要件 †

ビジネスロジックセキュリティは、すべてのアプリケーションごとに固有なため、どのチェックリストも適用はできません。そして外部からの脅威から保護するように設計されている必要がありますが、それはWebアプリケーションファイアウォール(firewalls)や安全な通信を使用しても保護することはできません。OWASP Cornucopiaなどのツールを使用して、デザインスプリント中に脅威モデリングを使用することを推奨します。

項番説明L1L2L3CWE Noタイトル概要
11.1.1アプリケーションが同じユーザのビジネスロジックフローを手順通り、省略せずに処理する。✓✓✓841行動ワークフローの不適切な施行このソフトウェアは、アクターが複数のビヘイビアを実行しなければならないセッションをサポートしていますが、アクターが必要な順序でビヘイビアを実行することを適切に保証していません。
11.1.2アプリケーションは、すべてのステップが人間の実際に処理する時間で処理されたビジネスロジックフローのみ処理する。（送信されるのが早すぎるトランザクションは処理されない。）✓✓✓779不十分なロギングセキュリティ上重要なイベントが発生した場合、ソフトウェアはイベントを記録しないか、ログを記録する際にイベントに関する重要な詳細を省略します。
11.1.3アプリケーションに適切な制限が実装されており、特定のビジネス活動やトランザクションに対し、ユーザごとに適用されている。✓✓✓770制限やスロットルのないリソースの割り当てソフトウェアは、アクターのために意図されたセキュリティポリシーに反して、割り当て可能なリソースのサイズや数に制限を課すことなく、アクターに代わって再利用可能なリソースまたはリソースのグループを割り当てます。
11.1.4データの流出、ビジネスロジック要求、過剰なファイルのアップロード、DoS攻撃(denial of service attacks)を検出および保護するために、アプリケーションに充分な自動攻撃を検知し防止する制限がある。✓✓✓770制限やスロットルのないリソースの割り当てソフトウェアは、アクターのために意図されたセキュリティポリシーに反して、割り当て可能なリソースのサイズや数に制限を課すことなく、アクターに代わって再利用可能なリソースまたはリソースのグループを割り当てます。
11.1.5アプリケーションは脅威モデリング(threat modelling)または類似の方法を使用して特定されたビジネスリスクから保護するために、ビジネスロジックの制限またはバリデーションがある。✓✓✓841行動ワークフローの不適切な施行このソフトウェアは、アクターが複数のビヘイビアを実行しなければならないセッションをサポートしていますが、アクターが必要な順序でビヘイビアを実行することを適切に保証していません。
11.1.6アプリケーションの機密性の高い処理が「Time of Check to Time of Use」TOCTOU問題や、その他の競合状態の影響を受けない。✓✓367チェック時間使用時間(TOCTOU) レースコンディションソフトウェアはリソースを使用する前にリソースの状態をチェックしますが、チェックと使用の間にリソースの状態が変化し、チェックの結果が無効になる可能性があります。このため、リソースが予期せぬ状態にある場合に、ソフトウェアが無効なアクションを実行してしまうことがあります。
11.1.7アプリケーションはビジネスロジックの観点から異常なイベントまたはアクティビティを監視している。例えば、順序がおかしい行為や通常のユーザが決して試みない行為の試行が該当する。 (C9)✓✓754異常な状態や例外的な状態のチェックが不適切な場合ソフトウェアは、ソフトウェアの日常的な動作中に頻繁に発生するとは予想されない異常な状態や例外的な状態をチェックしていないか、または正しくチェックしていません。
11.1.8アプリケーションは、自動攻撃または異常なアクティビティが検出されたときにアラートする設定機能がある。✓✓390アクションなしのエラー状態の検出ソフトウェアは特定のエラーを検出しますが、そのエラーを処理するためのアクションを取りません。


↑

参考情報 †

詳しくは以下の情報を参照してください。