Coders Conquer Security OWASP APIセキュリティトップ10シリーズ - 不十分なログ記録と監視

「不十分なログ記録と監視」という欠陥は、認証の失敗、アクセス拒否、入力バリデーションエラーのすべてを記録するというサイバーセキュリティ計画が不十分であるために発生します。これは本番環境の他の場所でも発生し得ますが、主に不正なログイン試行を阻止できないことに関連しています。

この脆弱性が危険なのは、サイバーセキュリティチームが攻撃を認識できず、対応が遅れるためです。攻撃者はこれを利用して、気づかれることなくシステムへの侵入を深めたり、権限を昇格させたりする大きなアドバンテージを得ます。実際、適切なログ記録と監視がなければ、攻撃が甚大な被害をもたらす前に検知して阻止することは非常に困難、あるいは不可能になります。

今すぐスキルを試してみませんか？こちらのチャレンジに挑戦してみてください。

攻撃者はどのようにして「不十分なログ記録と監視」を悪用するのでしょうか？

ログレベルの設定が不適切、低すぎる、エラーメッセージに十分な詳細が含まれていない、あるいはログ機能が全く存在しない場合、APIは「不十分なログ記録と監視」に対して脆弱になります。

興味深い例として、ハッカーがウェブサイトやサービスの流出したユーザー名リストを入手した場合を考えてみましょう。彼らは試行錯誤の末、ログイン失敗が3回続くとシステムからロックアウトされ、セキュリティ担当者に通知が届くというしきい値を見つけ出します。

この情報を得た攻撃者は、単一のアカウントを総当たり攻撃するのではなく、リストにあるすべてのユーザー名に対して「123456」や「password」といった一般的なパスワードでログインを試みるスクリプトを作成します。ポイントは、各ユーザー名に対して1回、あるいは2回だけ試行し、ロックアウトやアラートのしきい値を下回るようにすることです。運が良ければ、すぐにいくつかのパスワードを突破できます。その後、ログインカウンターがリセットされるのを1日待ち、「qwerty」や「god」といった別のパスワードで同じプロセスを繰り返します。管理者がこの動きを検知できなければ、攻撃者はリストを何度も繰り返し、最終的に弱いパスワードを持つほとんどのアカウントを侵害できてしまいます。

これはOWASPが提供する事例で、動画共有プラットフォームが「不十分なログ記録と監視」を悪用したクレデンシャルスタッフィング攻撃を受けた際に実際に起きたことです。企業はユーザーからの苦情が届くまで、攻撃が発生していることに全く気づきませんでした。最終的にAPIログから証拠が見つかり、全ユーザーへの強制的なパスワード変更通知と、規制当局への報告を余儀なくされました。

「不十分なログ記録と監視」という脆弱性の排除

自動化と継続的な監視は、この脆弱性を終わらせる助けとなります。まず、すべての認証失敗を記録することから始めましょう。そのログは、STIXやTAXIIのような機械可読形式に変換し、しきい値に関係なく攻撃を検知するようにトレーニングされたSIEM（セキュリティ情報イベント管理）システムに取り込めるようにします。

また、ログファイル自体も保護する必要があります。ログを機密情報として扱い、攻撃者による削除や改ざんを防ぎましょう。ログファイルのバックアップと暗号化を行うのが優れたポリシーです。

最後に、カスタムダッシュボードとアラートを作成し、不審なアクティビティを可能な限り迅速に検知して対応できるようにします。攻撃者がシステムに滞在する時間をなくせば、検知を逃れるための「低速かつ静かな」攻撃手法を封じることができます。

この脆弱性に関する詳細や、組織や顧客を他のセキュリティ上の脅威から守る方法については、Secure Code Warriorのブログページをご覧ください。また、デモを試して、サイバーセキュリティスキルを常に最新の状態に保つことも可能です。