家studyをつづってスマートフォン用の表示で見る家studyをつづってIT技術に関することやセキュリティ、ガイドライン等学んだことをつづっていきます。「セキュア・プログラミング講座」では、製品プログラミングや、Webプログラミングを対象にした、ガイドラインを公開しています。このガイドラインでは、これまでの内容をまとめ、共通的なセキュリティ原則を抽出し、広く開発分野に関わる人に向けた、開発のガイドラインとして公開しています。式に基づき、それぞれの要素を0に近づけることで、リスク低減をはかっています。セキュア・プログラミングには、脆弱性を作りこまない根本的解決策と予防的に影響を軽減する保険的対策があり、このガイドラインでは上記の2つの内容を含んでいます。脅威モデリングを行い、想定される脅威に優先度をつけて対策していく考え方を解説しています。Schroederの8原則を取り上げています。mechanism:効率的なメカニズム単純で小さな設計を心がける。defaults:フェイルセーフなデフォルト必要ないものを排除するのではなく、必要なものを許す判断を基本とする。mediation:完全な仲介あらゆるオブジェクトに対するすべての処理に関与する。設計内容を秘密していることに頼らない。つの鍵を持つ者にアクセスを許してしまう仕組みよりも複数の鍵を使って保護する方が、強固だし柔軟でもある。privilege:最小限の権限システムのすべてのプログラムおよびすべてのユーザは、業務を遂行するために必要な最小の権限の組み合わせを使って操作を行うべきである。複数のユーザが共有し依存する仕組みの規模を最小限に押える。/var/tmpの利用について触れており、これらのオブジェクトは情報流出の経路となる危険性を持っているとしています。Practices20を取り上げています。input.すべての信頼されていないデータソースからの入力を検証する。systems.外部に渡すデータは渡した先で問題を起こさないように加工する。渡す先によって問題となる条件は異なるのでそれに合わせた加工をする必要がある。インジェクション対策を行う必要がある。warnings.コンパイラの警告に注意を払わなければならない。policies.セキュリティポリシー実現のための実装と設計を行う。simple.シンプルを維持する。mechanism:効率的なメカニズム」と同じ意図のものである。deny.拒否をデフォルトにする。defaults:フェイルセーフなデフォルト」と同じ意図のものである。privilege.最小権限の原則に従う。privilege:最小限の権限」と同じものである。脅威モデリング脅威の分類の手法としてSTRIDEを紹介しています。STRIDEは、ソフトウェアの脅威を識別するためのものとして以下の6種類の事象を示しています。Identity)攻撃者が他のユーザを装ったり、悪意のあるサーバが有効なサーバを装ったりすること。否認(Repudiation)ユーザが行った操作の事実を否定すること。否認不能性の実現は元々それなりに手間ではある。ユーザのなりすましや履歴等の記録データの改ざんができないことが前提になる。Disclosure)不本意な相手に情報が開示されてしまうこと。Service)正当なユーザに対してサービスの提供ができなくなること。利用数やデータ量の制限なしにレスポンスも含めたサービス低下に対して対応することはできない。Privilege)権限を与えられていないユーザが、高い権限を取得すること。開発プロセスソフトウェアのセキュリティ品質を確保する行動として以下のものがあります。設計工程における「セキュリティレビュー」セキュリティレビューは、セキュリティ対策漏れを早くに見つけ出し、設計者へフィードバックすることを目的に、以下の観点でレビューを行います。記述したソースコードを直接検証するソースコードレビューは、開発者担当者が書いたソースコードを閲読して読みやすく、分り易く書かれているか、更にはセキュリティ脆弱性あるいはそのきざしがないか読み取る作業です。手軽に始める方法としては、最初はソースコードの静的検査ツールを使い、ツールが自動で検出してくれる問題から手を付けるという方法があります。CI(継続的統合)ツールと組みまわせて、常にシステム構成管理にチェックインされた際に自動的にツールの範囲でのチェックを実施することも行われるようになりつつあります。テスト工程における「セキュリティテスト」セキュリティテストの目的は、作り上げたプログラムに十分なセキュリティ対策が実装されているかどうかを確認することです。ITサービスマネジメント(ITSM:IT...2019-10-032019年上半期セキュリティ動向トレンドマイクロが、2019年1月から6月にかけてのセキュリティ...応援ありがとうございます。週間)いろいろとやってみる。(1)検索プロフィールスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。