LCNC-SEC-05: セキュリティの設定ミス
リスク評価 *
3
2
3
3
要旨
設定ミスは機密データや操作への匿名アクセス、保護されていないパブリックエンドポイントやシークレット、オーバーシェアリングなどのセキュリティリスクにつながることがよくあります。
ビジネスユーザーへの説明
ソリューションを構築する際、プラットフォームはさまざまな機能を提供し、それぞれがセキュリティに影響を与えます。それは機密データの保存方法や保存場所、暗号化設定など多岐にわたります。これらの機能を組み合わせる適切な選択をする際に、ユーザーは生産性とリスクを考慮する必要があります。
説明
ローコード/ノーコード開発は幅広い機能を提供しますが、その中にはセキュリティと特定のユースケースのサポートとのバランスを制御するものもあります。 しかし、設定ミスは機密データや操作への匿名ユーザーアクセス、保護されていないパブリックエンドポイント、シークレット、オーバーシェアリングにつながることがよくあります。 さらに、多くの設定はテナントレベルではなくアプリケーションレベルで設定されます。つまり、管理者ではなくビジネスユーザー自身によって設定されることがあります。
攻撃シナリオの例
シナリオ #1
ある開発者は API エンドポイントを公開するアプリケーションを作成しましたが、そのエンドポイントには匿名アクセスを拒否する設定をし忘れてしまいました。 攻撃者はローコード/ノーコードプラットフォームのサブドメインをスキャンして、その基盤となるデータを盗んでしまいます。
シナリオ #2
ある開発者は webhook によってトリガーされるオートメーションを作成しましたが、その webhook をシークレットで保護することをし忘れてしまいました。 攻撃者は webhook を特定し、今では自由にそのオートメーションをトリガーできます。 そのオートメーションはデータを変更や削除するために使用できます。
攻撃と悪用のシナリオの例 - ビジネスユーザー
シナリオ #1
ユーザーがパスワードを設定する必要がある新しいアプリケーションが構築されました。この新しいアプリケーション用に設定された「ルール」は会社のパスワードポリシーより安全性が低くなっていました。パスワードの安全性が低いため、悪意のあるユーザーがユーザーのパスワードを推測してシステムにアクセスすることが容易になります。
シナリオ #2
ユーザーがドキュメントをサーバーにアップロードできるアプリケーションが作成されました。そのアップロードプロセスはセキュリティリスクがないかアップロード時にドキュメントをスキャンするように設定されていませんでした。悪意のあるユーザーはこのプロセスを使用してマルウェアを含むドキュメントをアップロードし、支払いが行われない限り社内のすべてのコンピュータをロックします (ランサムウェア) 。
防止方法
ローコード/ノーコードプラットフォームベンダーのドキュメントを読み、ベストプラクティスガイドに従う。
設定が業界のベストプラクティスに沿っていることを確認する。
設定にドリフトがないか監視する。
テナントレベルの設定のために変更管理システムを導入する。
参考資料
Last updated