「安全なWebサービス」のためには定期的な専門家評価を

IT セキュリティ

OWASPの攻撃方法トップ10をチェックしよう、開発者のトレーニングしよう！などを主張されていますが、仕組みとして安全なコードを書けるようにしようとか、開発者のセキュリティに対する勘を育てようとかないんか・・・

最後にWebアプリケーションの安全性の確保に関しては「開発者のトレーニング」「安全ルールの明文化」「定期的な専門家チェック」「実装前のアプリケーションスキャン」「ファイアウォールの設定」が必要と主張した。

Webアプリケーションの安全性を高めるためのガイドラインとしては、「OWASP（Open Web Application Security Project）」と「OSSTMM（Open Source Security Testing Methodology Manual）」の2つを紹介した。
このOWASPはよく使われる攻撃方法のトップ10を公開しており、そのリストから「UnValidated Input（許可されていない入力）」「Cross Site Scripting Flaws（クロスサイトスクリプティング）」「Injection Flaws（挿入欠陥）」「Insecure Configuration Management（安全でない設定管理）」の4つの攻撃方法に関して解説した（ただし、最後の手法は最新のトップ10リストから削られており、古いリストを出したのは攻撃手法の上位に来る手法の紹介をしたかったのだと思われる）。

screenshot