OWASP API セキュリティ トップ 10: 修正を含むチェックリスト

API4:2023 無制限のリソース消費

無制限のリクエストを受け入れる API により、攻撃者はインフラストラクチャの料金を使い果たし、データベースを使い果たすことができます 接続を停止したり、サービス拒否をトリガーしたりします。 これは、レート制限の欠如、無制限のクエリに適用されます。 パラメータ (例: ?limit=1000000）、サイズ上限なしのファイルアップロード、およびエンドポイント 高価なバックグラウンド ジョブをトリガーします。

攻撃シナリオ: API エンドポイントは PDF レポートを生成します。 攻撃者は 500 を送信します 同時リクエストでは、それぞれ 200 ページのレポートがリクエストされます。 ワーカープールがいっぱいになり、正当な状態になります 次の 20 分間、ユーザーは 503 エラーを受け取ります。

修理： ユーザーごとおよび IP ごとにレート制限を追加します。 サーバー側でページネーションの制限を制限する 最大値。 ファイルのアップロード サイズ制限を設定します。 負荷の高い操作にはキューベースの処理を使用します。

// Express rate limiter per user
import rateLimit from "express-rate-limit";

const apiLimiter = rateLimit({
  windowMs: 60 * 1000, // 1 minute
  max: 30,             // 30 requests per minute per IP
  standardHeaders: true,
  legacyHeaders: false,
  message: { error: "Rate limit exceeded. Try again in 60 seconds." },
});

app.use("/api/", apiLimiter);

API5:2023 機能レベルの承認が壊れています

機能レベルの承認の欠陥により、通常のユーザーが管理エンドポイントを呼び出すことができます。 典型的なパターン: 管理パネルの呼び出し DELETE /api/admin/users/:id。 フロントエンドはボタンを非表示にします 非管理ユーザーですが、API エンドポイント自体はロールをチェックしません。 認証されたユーザーであれば、 URL がアカウントを削除できることを発見します。

攻撃シナリオ: 開発者が見つけた /api/admin/export-all-users JavaScript バンドルに含まれています。 通常のユーザー トークンを使用して呼び出し、完全なユーザーをダウンロードします。 データベース。

修理： すべての管理エンドポイントの API レイヤーでのユーザーのロールを確認します。 依存しないでください フロントエンドの機能を非表示にします。 グループ管理者は、検証するミドルウェアの背後にあるルートを確認します。 role === "admin" リクエストを処理する前に。

API6:2023 機密性の高いビジネス フローへの無制限のアクセス

一部の API フローは、個々のリクエストが承認されていても、大規模になると危険です。 購入する 在庫に限りのあるアイテム、無料トライアルアカウントの作成、紹介コードの送信。 これらの流れ 自動化すると壊れます。 ボットが 10,000 の無料アカウントにサインアップするか、フラッシュ セールですべてのチケットを購入します 実際のユーザーがページをロードする前に。

攻撃シナリオ: スニーカーの再販業者が、次のようなボットを作成します。 POST /api/checkout 限定ドロップの最初の1秒間で500回。 どのペアも売れています ボットに。 人間の顧客には、ページの読み込みが完了する前に「売り切れ」が表示されます。

修理： 高価値フローに CAPTCHA またはproof-of-work チャレンジを追加します。 トラックデバイス 自動化を検出するための指紋。 ユーザーごとの購入制限を設定します。 キューベースのアクセスを使用して、 先着順のエンドポイントの代わりにフラッシュ販売を行います。

API7:2023 サーバー側リクエスト フォージェリ (SSRF)

SSRF は、API がクライアントから URL を受け入れ、それをサーバー側で取得するときに発生します。 ターゲットを検証しています。 攻撃者が提供するもの http://169.254.169.254/latest/meta-data/ サーバーは AWS インスタンスの認証情報を返します。 あるいは彼らはターゲットにする http://localhost:6379/ Redis インスタンスと対話します。

攻撃シナリオ: Webhook 統合により、ユーザーはコールバック URL を指定できます。 攻撃者はコールバックを次のように設定します http://169.254.169.254/latest/meta-data/iam/security-credentials/ そして、Webhook ペイロードでクラウド プロバイダーの IAM ロール認証情報を受け取ります。

// Block internal network requests
const BLOCKED_RANGES = [
  /^10\\./, /^172\\.(1[6-9]|2\\d|3[01])\\./, /^192\\.168\\./,
  /^127\\./, /^0\\./, /^169\\.254\\./,
  /^localhost$/i, /^\\[::1\\]$/,
];

function isSafeUrl(urlString) {
  try {
    const url = new URL(urlString);
    const hostname = url.hostname;
    return !BLOCKED_RANGES.some((re) => re.test(hostname));
  } catch {
    return false;
  }
}

app.post("/api/fetch-url", async (req, res) => {
  const { url } = req.body;
  if (!isSafeUrl(url)) {
    return res.status(400).json({ error: "URL targets a blocked network range" });
  }
  // proceed with external fetch
});

修理： 宛先 URL を検証して許可リストに登録します。 プライベート IP 範囲とクラウドをブロックする メタデータエンドポイント。 DNS の再バインドを防ぐために、リクエストを行う前に DNS を解決してください。 アウトバウンドの実行 隔離されたネットワークセグメントからのリクエスト。

API8:2023 セキュリティの構成ミス

構成ミスは最も広範なリスク カテゴリです。 CORS 制限の欠如、詳細エラーが含まれます スタック トレースを漏洩するメッセージ、管理パネルのデフォルトの認証情報、有効になっている不要な HTTP メソッド、 TLS が強制されておらず、セキュリティ ヘッダーが欠落しています。 構成ミスが 1 つでもあると、エントリ ポイントが作成されます。

攻撃シナリオ: API は、運用エラー応答で完全なスタック トレースを返します。 アン 攻撃者は意図的にエラーを引き起こし、スタック トレースを読み取り、ORM とデータベースのバージョンを特定します。 次に、そのバージョンの既知の脆弱性に基づいてインジェクション ペイロードを作成します。

修理： 実稼働応答からスタック トレースを削除します。 自分のドメインのみを許可するように CORS を設定します。 使用しない HTTP メソッドを無効にします。 あらゆる場所で TLS を強制します。 自動セキュリティヘッダーチェックを実行します。 XSS を防ぐために、すべての HTML 出力をサニタイズします。

の 公開された HTML サニタイズ API ストリップ ユーザーが指定した HTML からの悪意のあるタグと属性:

curl -s -X POST https://api.botoi.com/v1/html-sanitize \\
  -H "Content-Type: application/json" \\
  -d '{
    "html": "<p>Hello</p><script>document.cookie</script><img onerror=alert(1) src=x>"
  }'

応答：

{
  "success": true,
  "data": {
    "sanitized": "<p>Hello</p><img src=\\"x\\">"
  }
}

の <script> タグと onerror 属性が削除されます。 安全な HTML が返されます。 ユーザーが提供した HTML を保存またはレンダリングする前に、このエンドポイントを呼び出します。

API9:2023 不適切な在庫管理

古い API バージョン、忘れられたステージング エンドポイント、文書化されていないルートにより、攻撃対象領域が形成されます。 監視しないでください。 攻撃者は以下をスキャンします /v1/、 /v2/、 /api-dev/、 そして /internal/ パス。 セキュリティ管理が欠如している非推奨のエンドポイントを発見しました 現在のバージョンに追加しました。

攻撃シナリオ: あなたのチームは出荷されました /v2/users 役割ベースのアクセスを使用する コントロール。 しかし /v1/users 実稼働環境ではまだ承認なしで実行されています。 攻撃者 パブリック Swagger ファイルを介して v1 パスを検出し、ユーザー テーブル全体をプルします。

修理： 完全な API インベントリを維持します。 古いバージョンを廃止します。 彼らを残さないでください 「誰かがまだ使用している場合に備えて」実行中です。 同じ認証ミドルウェアの背後ですべてのバージョンをゲートします。 スキャン 定期的なスケジュールでパスを公開するための独自のインフラストラクチャ。

API10:2023 API の安全でない使用

API は、決済処理業者、電子メール プロバイダー、ジオコーディング API などのサードパーティ サービスを呼び出します。 もしあなたが 検証せずに応答を信頼すると、侵害されたサードパーティまたは悪意のあるサードパーティがデータを挿入する可能性があります あなたのシステムに。 これには、リダイレクト URL の信頼、未検証の JSON の解析、または保存が含まれます。 サニタイズを行わないサードパーティの応答。

攻撃シナリオ: アプリがサードパーティのエンリッチメント API から企業データを取得します そして、 company_name フィールドをデータベースに直接追加します。 エンリッチメント API が取得するのは、 侵害され、攻撃者がインジェクトします <script> 会社名にタグを付けます。 毎 ダッシュボードで会社プロファイルを表示するユーザーがスクリプトを実行します。

修理： 保存またはレンダリングする前に、すべてのサードパーティの応答を検証してサニタイズします。 彼ら。 受信データに対してスキーマ検証を使用します。 外部呼び出しにタイムアウトを設定します。 同じ入力を適用します ユーザー入力に適用するサードパーティ データの検証。

API 応答内の機密データの漏洩を検出する

リスク API1 と API3 により、機密データが API から流出することがよくあります。 の Botoi PII 検出 API テキストをスキャンします 社会保障番号、クレジット カード番号、電子メール アドレス、電話番号、IP アドレス、 生年月日。 統合テストで API レスポンスボディに対して実行して、偶発的なエラーを検出します。 導入前のデータ漏洩。

curl -s -X POST https://api.botoi.com/v1/pii/detect \\
  -H "Content-Type: application/json" \\
  -d '{
    "text": "Customer SSN is 123-45-6789 and card is 4111111111111111"
  }'

応答：

{
  "success": true,
  "data": {
    "found": true,
    "count": 2,
    "findings": [
      {
        "type": "ssn",
        "value": "123-45-6789",
        "start": 17,
        "end": 28,
        "masked": "***-**-6789"
      },
      {
        "type": "credit_card",
        "value": "4111111111111111",
        "start": 42,
        "end": 58,
        "masked": "************1111"
      }
    ]
  }
}

API 応答が検出結果をトリガーした場合、エンドポイントはクライアントに表示されるべきではないデータを返しています。 これらのフィールドを除外するようにクエリまたは DTO を修正してください。

保存中の機密データを暗号化する

API が機密性の高い構成、トークン、または認証情報を保存する場合は、書き込む前に暗号化してください。 データベースに。 の Botoi暗号化API AES-256-CBC 暗号化を提供します。

curl -s -X POST https://api.botoi.com/v1/encrypt/encrypt \\
  -H "Content-Type: application/json" \\
  -d '{
    "text": "sensitive-api-token-abc123",
    "password": "your-secret-key"
  }'

応答：

{
  "success": true,
  "data": {
    "encrypted": "U2FsdGVkX1+abc...encrypted_output_here",
    "algorithm": "aes-256-cbc"
  }
}

暗号化された出力を保存します。 で復号化します /v1/encrypt/decrypt 値が次の場合のみ 必要です。 これにより、攻撃者がデータベースへの読み取りアクセスを取得した場合の攻撃範囲が制限されます。 BOLA または SQL インジェクションの脆弱性。

OWASP API セキュリティ トップ 10 チェックリスト

この表を印刷するか、セキュリティ レビュー テンプレートに追加します。 API リリース前に各項目を確認してください。

ここからどこへ行くか

OWASP API セキュリティ トップ 10 の完全なドキュメントは、次の場所にあります。 owasp.org/API-Security。 各リスク ページには、検出方法、攻撃シナリオの例、CWE への参照が含まれています。

自動チェックの場合は、上記の botoi エンドポイントを CI パイプラインに統合します。 PII 検出を実行する API レスポンス フィクスチャに対して。 保存された HTML を書き込み時にサニタイズします。 新しいユーザーのメールが侵害されていないかチェックする サインアップ中のデータベース。 これらは、リスク スキャナーをキャッチするテスト スイートへの小さな追加です。 ミス。