出版社内容情報
手を動かしながら実際の攻撃と防御を体験できる、Webアプリケーションセキュリティ学習書の決定版！
Webアプリケーションセキュリティの定番書、8年ぶりの全面改訂。
脆弱性対策からセキュリティ要件の組み立て方まで、事業を守るための実践知を体系的に学べる。
本書は、2011年の初版以来、Webアプリケーションセキュリティを学ぶための必読書として読み継がれてきた定番書の改訂第3版です。
第2版の刊行以降、Webを取り巻く状況は大きく変わりました。ブラウザーの機能は増え、攻撃の手口は高度化し、被害の中心も「個人情報の漏えい」から「事業そのものの毀損」へと移りつつあります。
第3版では、こうした変化に合わせて内容を大幅に刷新しました。
■第3版の主なポイント
・「セキュリティ要件」の章を新設
本書では、セキュリティ要件を「セキュリティバグ」「汎用セキュリティ機能」「業界の規制・ガイドライン」「アプリケーション固有の脅威」の4つの観点に整理します。このうち「アプリケーション固有の脅威」については、正規の機能が悪用される業務ロジック上の脅威をリスク分析によって洗い出し、検証可能な要件に落とし込む手順を解説します。認証・セッション管理・認可・ログ・Web APIの要件に加え、開発工程全体でセキュリティをどう組み込むかも概観します。
・注目度の高い脆弱性を実習付きで解説
レースコンディション（TOCTOU競合）、安全でないデシリアライゼーション、キャッシュからの情報漏洩、HTMLのエスケープだけでは防げないさまざまなXSSを、実際に手を動かして確認できます。
・ブラウザーセキュリティを実務の視点で整理
同一オリジンポリシーとCORS、現在推奨されるCSPの設定方法、JWTによるセッション管理の正しい使い方を、設定と使い方を中心に解説します。
・依存ライブラリーの脆弱性への備えを解説
SBOMやCVSS・EPSS・KEVを使った脆弱性の評価から、トリアージ、更新ポリシーの立て方、修正版がないときや緊急時の対応まで、サードパーティソフトウェアの脆弱性に向き合う方法を取り上げます。
・最新のグローバルスタンダードに対応
OWASP ASVS v5やNIST SP 800-63B-4などの最新の標準・ガイドラインを踏まえています。
・実習環境を全面刷新
Docker Composeベースの環境を用意しました。素のPHPに加え、Laravelなど現在の開発現場に即した題材を使い、Burp Suiteで攻撃と対策を体験できます。
・現役の「古典的脆弱性」も網羅
クリックジャッキングやOSコマンドインジェクションなど、古くから知られていながら今も発見される脆弱性も取り上げます。
【目次】
1章 脆弱性に関する基礎知識
2章 実習環境のセットアップ
3章 ウェブセキュリティの基礎
4章 ウェブアプリケーションセキュリティの主要プラクティス
5章 セキュリティ要件
6章 ブラウザーセキュリティ
7章 高度な脆弱性
