Computer – ページ 11 – yohgaki's blog

追記2：12月現在ではPDF版がリリースされています。現時点ではWebページの内容はドラフト版になっています。リリース版では「A7-Insufficient Attack Protection」は「A10-Insufficient Logging & Monitoring」になり、緩い要求事項に変更されていますが、基本的な要求事項は変わりません。マトモな入力バリデーションがないと要求されるログと監視機能を提供できません。

OWASP（Open Web Application Security Project）とはWebシステムのセキュリティ向上を目指す団体です。クレジットカード／デビットカード利用に必要なPCI DSS（Payment Card Industory Data Security Standard）標準に強い影響力を持っています。PCI DSS標準ではOWASPなどのセキュリティガイドを参照／実装するように求めています。

OWASP TOP 10はOWASPガイドプロジェクトの中で最も重要なプロジェクトです。今年はその新版が4年ぶりにこの夏公開予定です。この4月からRC版（PDF）が公開されています。

2017年度版OWASP TOP 10の修正点で、アプリケーション開発者にとって最も影響が大きい変更は

A7 Insufficient Attack Protection（不十分な攻撃防御）

が追加された点です。これがWebセキュリティのルールを変える指針になります。（とは言っても、個人的にはこれと同じこと10年以上前から実施すべき、と勧めていますが）もっと読む

Computer, Development, PHP Security, Programming, Secure Coding, Security

入力値の種類は３種類しかない

5月 22, 2017 #セキュアコーディング論理, #セキュリティ構造, #入力バリデーション, #未検証入力投稿者 yohgaki

入力の種類には3種類以上の種類、名前、電話番号、住所など沢山の種類があります。しかし、見方によってはたった3種類しかありません。この区別ができる／できない、で大きな違いができてしまいます。

Computer, Database, Development, PHP Security, Programming, Secure Coding, Security

SQLインジェクション対策総”習”編 – 第五回関西DB勉強会

5月 21, 2017 #MySQL, #PostgreSQL, #SQLite, #SQLインジェクション, #インジェクション, #エスケープ, #セキュアコーディング技術, #セキュリティ構造, #プレゼンテーション, #入力バリデーション, #出力対策投稿者 yohgaki

第五回関西DB勉強会でお話しさせて頂いた SQLインジェクション対策総”習”編の公開用資料をSlideShareにアップロードしました。私のセッションを気に入って頂けた方が多かったようで何よりです。

関西DB勉強会、面白かったです。久々にお会いできた方もいました。超満員でもう少しで入りきれないほどでした。また参加できれば、と思っています。

PDFはこちらからダウンロードできます。

SQLインジェクション総”習”編 from Yasuo Ohgaki

勉強会で使ったスライドは、面白おかしく柔らかい（？）スライドでした。あまり公開用には向いていません。実際に勉強会で使った資料が欲しい方はFacebookかメールで連絡してください。個別にお送りします。

Computer, PHP Security, Secure Coding, Security

アプリケーションのセキュリティと必要十分条件

5月 16, 2017 #セキュアコーディング論理投稿者 yohgaki

セキュリティと必要十分条件については他のエントリでも書きました。以前書いたエントリではミクロの視点から単純な加算関数で考えました。今回はもう少し大きなマクロの視点、アプリケーションのセキュリティの必要十分条件を考えてみます。

論理的なセキュリティを考える為には必要なので書きました。ここに書いたことは読み物としては退屈かも知れませんが、重要な事だと考えています。

Computer, Development, PHP Security, Secure Coding, Security

これから開発を始める場合のセキュリティ

5月 1, 2017 投稿者 yohgaki

取り敢えず言語とプログラミングの基礎を学習し終えて、これから本格的にソフトウェア開発をしよう、という場合に困るのが「セキュリティ」です。今回は簡単に、これから本格的に開発を行う、という方向けに知っておくべき事を紹介します。

初めてTeratailに回答した内容を多少まとめて加筆したモノになっています。

https://teratail.com/questions/74317

ブログにしたので、Tratailの回答は単純にこのエントリを参照するように修正するかも知れません。

Computer, PHP Security, Security

戸締りと金庫とセキュリティ

4月 15, 2017 #セキュアコーディング論理投稿者 yohgaki

ずっと感じてきたことですが、ブログにしていませんでした。具体的には

戸締りする前に、金庫を買うセキュリティ対策

です。

IT技術者以外の方向けに書いています。最近問題だ、と話題のStruts2というソフトウェアを引き合いに書いていますが、技術的なことはほとんど書いてありません。

Computer, Development, PHP Security, Programming, Security

暗号を積極的に使う理由

4月 13, 2017 投稿者 yohgaki

Googleは暗号を積極的に使っていることが知られています。暗号を積極的に使う理由を紹介します。

「信頼境界線の中で暗号を使っても、内部に侵入を許した時点で終わり」なので、「暗号を使っても意味がない」と考えているかも知れません。「リスクの廃除」だけが、セキュリティ対策ではありません。「リスクの緩和」もセキュリティ対策です。暗号は侵入を許してしまった場合のリスク緩和に効果的です。

Computer, Development, PHP Security, Security

簡単にインターネットから内部ネットワークを守る方法

4月 12, 2017 #開発環境投稿者 yohgaki

前のエントリでFirefox + NoScriptによる内部ネットワークを守る方法を簡単に紹介しました。本当はネットワークを分離（物理的またはVLAN）し、それぞれに安全に利用できるプロキシーサーバー（ローカルネットワークのリソースにアクセスさせない、など）を用意して利用する方が良い、のですがこれには”それなりのモノと手間”が必要です。

Firefox + NoScriptだけでもかなり効果があるので改めて紹介します。前回紹介したのは10年も前ですね :D

Computer, Development, PHP Security, Programming, Secure Coding

信頼境界線の引き方と防り方 – セキュリティの構造と設計

4月 11, 2017 #セキュアコーディング, #セキュリティ構造, #ベストプラクティス, #リスク管理, #信頼境界投稿者 yohgaki

信頼境界線（Trust Boundary）と境界防御はITセキュリティに限らず、セキュリティ対策の基礎中の基礎です。基礎中の基礎かつ最も重要な概念ですが習わないことが多いです。これが原因で「正しいセキュリティ対策」（≒効率的なセキュリティ対策）ができていないケースが多数あります。残念ながら”セキュリティに詳しい”とされている人でも全く理解していないケースが散見されます。

このエントリでは主に、ソフトウェアセキュリティに於ける信頼境界線の概念と引き方（≒セキュリティ構造/設計）、ついて紹介します。かなり長いエントリになりましたがお付き合いください。

Computer, Development, PHP Security, Programming, Security