アプリケーションセキュリティ(AppSec).

アプリケーションセキュリティは、ソフトウェアを悪用可能な脆弱性のない状態に保ち、本番環境でも自衛できるようにするための、あらゆる人・プロセス・ツールを包括します。その範囲は、脅威モデリング、セキュアデザイン、セキュアコーディング規約、コードレビュー、自動テスト(SAST、DAST、IAST、SCA)、依存関係の衛生管理、そして WAF や RASP といったランタイム保護にまで及びます。AppSec チームは開発部門と連携し、CI/CD パイプラインにセキュリティゲートを組み込むことで、修正コストが最も低い早い段階で脆弱性を検出します。目標は完璧さではなく、許容可能なリスクです。すなわち、デリバリの速度、攻撃面、そして万一侵害された場合のビジネスへの影響のバランスを取ることです。

この分野は、単一のコードの欠陥を大規模侵害へと変えてしまった事件によって緊急性を増しました。2017 年の Equifax における約 1 億 4,700 万件の情報流出は、Apache Struts の未修正のリモートコード実行の脆弱性(CVE-2017-5638)に起因しており、これはソフトウェアコンポジションとパッチ管理の失敗でした。続いて Log4Shell(CVE-2021-44228、CVSS 10.0)は、たった一つのロギングライブラリがほぼ一夜にして数万の組織をリモートコード実行の危険にさらし得ることを示し、ソフトウェアコンポジション解析(SCA)とソフトウェア部品表(SBOM)を経営層レベルの関心事へと押し上げました。現代のプログラムは、OWASP Top 10(2021)や CWE Top 25 に照らして検出結果に優先順位を付け、CVSS だけに頼るのではなく、EPSS や CISA KEV カタログを用いて実世界での悪用可能性をますます重視するようになっています。

flowchart LR
  A[脅威モデリングとセキュアデザイン] --> B[セキュアコーディング]
  B --> C[CI での SAST / SCA]
  C --> D{ゲート通過?}
  D -- いいえ --> B
  D -- はい --> E[ステージングでの DAST]
  E --> F[デプロイ]
  F --> G[ランタイム:WAF / RASP]
  G --> H[監視とフィードバック]
  H --> A

成熟した AppSec は、安価な早期修正のために左へシフトしつつ、どのパイプラインもすべてを捕捉できないため、ランタイム防御も維持します。基本となる習慣は、依存関係を固定して検証する、最小権限を徹底する、クエリをパラメータ化する、入力を検証し出力をエンコードする、そして本番環境のテレメトリを次の脅威モデリングのサイクルにフィードバックすることです。