「安全なウェブサイトの作り方」改訂第7版を一度は読むことをオススメする本書を読むことでIPAに届け出が多く、影響度が大きい脆弱性の概要・対策方法を一通り学ぶことができるはじめに最近Webセキュリティについて改めて学び直す必要があると感じることが多くなってきた。「安全なウェブサイトの作り方」改訂第7版を読んだ。安全なウェブサイトの作り方とはIPAのホームページ上にこのように説明がある。受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。資料はPDFとして無料で公開されており、誰でも閲覧することができる。「別冊:安全なSQLの呼び出し方」の資料も同様に無料で公開されている。これは、SQLインジェクションのための資料ではあるが、SQLインジェクションの被害件数の多さとその影響度合いが大きいことから、別資料として詳細に解説されているものと思われる。安全なウェブサイトの作り方を読んで本書は、IPAに届け出があった脆弱性から件数が多くかつ危険度が高いものが選定されている。そのため、これらを一通り学ぶことで、必要最低限の知識を習得できる。最初に脆弱性に関する脅威について説明がある。これにより脆弱性の概要と実態を知ることができる。2つの視点で解決方法が提案される。攻撃される可能性を低減する攻撃された場合に、脆弱性を突かれる可能性を低減する脆弱性を突かれた場合に、被害範囲を最小化する被害が生じた場合に、早期に知る当たり前ではあるが、根本的対策を実施して、脆弱性を無効化するのが一番良い。運用中のシステムにおいて、現場のリソース、稼働状況、時間などの制約から根本的解決が実施できない場合がある。そこで、保守的対策として攻撃を軽減する対策が提案されている。これも一つの選択肢であるので、知っておくべきと感じた。理想的には脆弱性を最初から作り込まないのが良い。そのためには脆弱性に対する正しい知識と理解を持って、実装する必要があることがわかった。開発において考えることはセキュリティだけではない。設計、実行速度など様々なことを考えながら開発をすすめるので、絶対に脆弱性を埋め込まないというのは難しい。脆弱性を埋め込まない開発方法の一つとして、チーム全体でWebセキュリティ力をあげて、コードレビューなどで脆弱性を作らない体制も一つの方法と感じた。世の中に存在する脆弱性を全て理解して一切埋め込まないようにするのはさすがに難しい。可能な限り減らすことは前項で意見を述べた。大切なのは脆弱性を見つけたときの行動である。加えてそれにサービス仕様も必要である。脆弱性対策の方法とサービス仕様、そしてその他状況(リソース、被害状況有り無し、影響範囲)などを考慮して総合的に判断が必要である。色んな変数が絡み合うことで迷いが生じることもあるが、正しい知識を持つことで、その変数はある程度固定化されることにより、判断がしやすくなると個人的には思う。引き続きWebセキュリティに関する知識は学んでいかなくてはいけないと感じた。終わりに「安全なウェブサイトの作り方」を通じて影響度・発生頻度の高い脆弱性の概要・対策を一通り学ぶことができた。2つの観点を得られたのが大きい。引き続きWebセキュリティについて学んでいきたい。bloghypermkthypermkt。