2017年版OWASP TOP 10

(Last Updated On: 2018年8月13日)追記： 8月現在では、OWASP TOP 10 2017はWAFのプロモーションになっている、OWASP Proactive Controlsの”全ての入力をバリデーションする”と重複している、などの点が議論になりRCはリジェクトされ11月にリリースを目指して調整中になっています。 追記2：正式版が2017年12月にリリースされました。ここで紹介している脆弱性はA10（10番目の脆弱性）「不十分なログとモニタリング」として登録されました。WAFが必要であるかのような記載が削減されましたが、脆弱性の本質（入力検証しない＆対応しないアプリは脆弱なアプリ）は変わりありません。 このテーマついては既にブログは書いています。このエントリでは追加でQ＆Aを記載しています。 2017年度版 OWASP TOP 10 で変るWebセキュリティのルー

[hiroomi]

”誰に責任を負わせるのか？誰が負うべきなのか？ 基本的な入力バリデーションさえ実装してない場合、対応工数はそれなりの工数が必要になります。”この括りは素敵。