【サンズトップにじゅうご】
SANS Top 25 とは？
💡 ソフトウェアの「危険なミスワースト25」——開発者が絶対に犯してはいけないバグ番付。
📌 このページのポイント
- CWEをベースに年次更新されるランキング
- バッファオーバーフロー・SQLインジェクション・XSSなどが常連上位
- OWASP Top 10がWeb限定なのに対し、SANS Top 25は全ソフトウェアのバグ種別が対象
- 開発ガイドラインや脆弱性診断の参照基準として広く活用される
ひよこ SANS Top 25って何のランキングなの？
ペンギン先生 ソフトウェアに潜む「危険なバグの種類」ワースト25リストだよ。バッファオーバーフローやSQLインジェクション、クロスサイトスクリプティング（XSS）みたいな、攻撃に使われやすいバグ種別をランキングにしたものなんだ。
ひよこ OWASP Top 10とどう違うの？
ペンギン先生 OWASP Top 10はWebアプリに絞ったリストだよ。SANS Top 25はWebだけじゃなくデスクトップアプリや組み込みソフトなど、あらゆるソフトウェアのバグ種別が対象なんだ。
ひよこ どんなバグが上位に来るの？
ペンギン先生 メモリの境界を超えて書き込む「バッファオーバーフロー」、悪意あるSQLを埋め込む「SQLインジェクション」、スクリプトを注入する「XSS」などが常連だよ。これらはどれも攻撃者に悪用されやすいんだ。
ひよこ 開発者はこのリストをどう使うの？
ひよこ CWEって何に使われてるの？
まとめ：ざっくりこれだけ覚えればOK！
「SANS Top 25」って出てきたら「ソフトウェアの危険なバグベスト25リスト」と思えばだいたいOK！
📖 おまけ：英語の意味
「SANS Top 25 Most Dangerous Software Weaknesses」 ＝ 最も危険なソフトウェア上の弱点トップ25
💬 SANS（SysAdmin, Audit, Network, Security）はサイバーセキュリティ教育機関で、CWEを管理するMITRE社と協力してこのリストを策定しているんだよ。