“そうはならんやろコード”はなぜ生まれるのか セキュリティ専門家・徳丸氏に聞く「脆弱性だらけのWebアプリ」の背景
ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ
Web開発者はもっと「安全なウェブサイトの作り方」を読むべき - Flatt Security Blog
画像出典: https://www.ipa.go.jp/files/000017316.pdf こんにちは。株式会社Flatt Security セキュリティエンジニアの奥山です。 本稿では、独立行政法人 情報処理推進機構(以下、IPA)が公開している資料「安全なウェブサイトの作り方」を紹介します。 「安全なウェブサイトの作り方」は、無料で公開されているにも関わらず、Webセキュリティを学ぶ上で非常に有用な資料です。これからWeb開発やセキュリティを勉強したいと考えている方はもちろん、まだ読んだことのない開発者の方々にも、ぜひ一度目を通していただけたらと思います。 一方、「安全なウェブサイトの作り方」では、一部にモダンなアプリケーションには最適化されていない情報や対象としていない範囲が存在します。それらについても本記事で一部、触れていきたいと考えていますので、資料を読む際の参考にしていただ
Webセキュリティの“モヤモヤ”の正体はなに？ セキュアの共通認識を形成する「OWASP ASVS」
DevSecOps勉強会はアプリケーションセキュリティに関する知見やノウハウ共有の場です。第1回目はyamoryチームの佐々木氏がセキュアにすることを容易にするツールであるOWASP ASVSについて解説とトライを共有しました。 Webセキュリティのモヤモヤを解消する 佐々木 氏（以下、佐々木）：それでは始めます。本日は「セキュアなWebアプリケーションとは何か？」について、私佐々木から発表いたします。 前半は、なぜこのテーマを取り上げたのかという背景と目的を説明します。その上で、セキュアにすることがなぜ難しいのかということについて考察した結果を共有します。後半はセキュアにすることを容易にするツールであるOWASP ASVSについて解説し、実際に始めてみるということに関して、yamoryでのトライを簡単に共有します。 それではさっそく本題に入ります。まず、なぜこのテーマを取り上げたのかにつ
駆け出しエンジニアの皆さんに知ってほしい脆弱性のこと。
セキュリティは難しいです。 ですが、プログラミング初学者の皆さんは必要以上に萎縮せず、どんどんアプリケーションを作り、公開することにチャレンジして欲しいと私は思っています。 一方、事実として、脆弱なアプリケーションが公開されている（サーバ上でアクセス可能な状態になっている）だけで、全く無関係な第三者が被害を被る可能性があることは知っておく必要があります。 それはWordPressを使った単なるWebサイトであったとしても同じです。 また、あなたのアプリケーションが破壊されて困らないものであったり、 個人情報を保持していないものであったとしても、です。 だから、知らなかった、では済まされないこともあります。 この記事では、PHPのソースを例に、 特にプログラミング初学者が生み出しやすいアプリケーションの脆弱性について、 具体的なコードを挙げながら解説します。 なお、本記事のサンプルコードはも
徳丸試験（ウェブ・セキュリティ基礎試験）の試験情報と勉強方法 - Qiita
ウェブ・セキュリティ基礎試験を受験してきました。 とてもいい資格なので少しでも合格者が増えるように勉強方法含め情報共有します。 ウェブ・セキュリティ基礎試験とは 徳丸本の愛称で有名な体系的に学ぶ 安全なWebアプリケーションの作り方の理解度を問う試験です。 問題作成をご担当されている徳丸先生にちなんで徳丸試験と呼ばれています。 Webアプリケーションを開発するにあたって、知っておくべきセキュリティや脆弱性の知識を身に付けることができます。 「徳丸本読まずしてWebアプリケーションを作るなかれ」と言うぐらい必須の知識です。（私が勝手に言ってるだけです。） 詳細は以下をご覧ください。 https://www.phpexam.jp/tokumarubasic/ 試験の基本情報 試験の形式は以下の通りです。（執筆時点）
新たなWebハッキング技術、2019年に登場したトップ10をPortSwiggerが発表
サイバーセキュリティツール「Burp Suite」を手掛けるPortSwiggerは2020年2月17日（現地時間）、2019年の新しいWebハッキング技術のトップ10を発表した。 同社は、2006年からほぼ毎年、トップ10を発表している。今回はまず、Redditコミュニティー「Web Security Research」のメンバーが51件の候補を推薦し、メンバーの投票で最終選考対象を15件に絞り込んだ。最後にPortSwiggerのリサーチディレクターを務めるジェームズ・ケトル氏を含む4人の専門家パネルが協議、投票を行ってトップ10を選出した。 なぜトップ10を発表するのだろうか。「重要な」攻撃とそうでないものの見分けが付かなくなっているからだ。 毎年、研究者やベテランのペネトレーションテスター（ペンテスター）、賞金獲得を目指してチャレンジする技術者、学者が、サイバー攻撃手法についてBl
英国国立ウェールズ大学トリニティセントデイビッド MBAプログラム｜ヒューマンアカデミーMBAスクール
MBAは単なる箔をつける資格だけでは収まらず、人生に新しい羅針盤として活用できます。 ビジネスシーンにおける、自分の立場やキャリアを構築する基盤として。 共に学ぶ学友との生涯の出会いの場として。 人生に自分の価値を見つけるMBAを。 MBAとはarrow_forward なぜウェールズ大学トリニティセントデイビッド(UWTSD)なのか 日本にいながらにして世界共通のレベルに触れる 英国国立ウェールズ大学のMBAプログラムは日本以外にも16か国50を越える教育機関がパートナーとして参画しています。各教育機関が共通の目的、学修成果、評価基準を扱い、ビジネスプログラムを提供することで、日本にいながら世界共通のレベルに触れることができます。 古くから多数のプログラムを展開しているためウェールズMBAプログラムに対する世界的認知度は高く、今後グローバルな活躍を目指す方に最適です。 UWTSD MBA
3分でわかるXSSとCSRFの違い - Qiita
みなさんこんにちは。 FUJITSU その2 Advent Calendar 2018 17日目の記事担当は私 ゆきはらです。 前回14日目はkeiya-nobutaさんのSphinxの導入とLinux Kernelドキュメントのビルドで、 18日目はhasunumaさんの富士通サイバーセキュリティーワークショップ(FCSW)2018参戦記となっています。 はじめに なぜこのテーマにしたか Webアプリケーションに対する代表的な攻撃手法としてXSS（クロスサイトスクリプティング）とCSRF（クロスサイトリクエストフォージェリ）というものがあります。 しかしこの二つ、名前だけでなく攻撃手法も似ていて違いがとてもわかりづらいです。かつて私がセキュリティを勉強していたときもよく混同していました。 そこで、この記事ではXSSとCSRFの仕組みとそれらの違いについてまとめることにしました。 対象とす
安全なWebサイトのつくりかた ざっくりまとめpart1 - Qiita
情報推進機構「安全なWebサイトのつくりかた」を読んだけど 情報量が多すぎて頭がフリーズしたので、現時点で最低限理解できる内容までを記録しておきます。 誰にでもわかるというより、僕にでもわかる文章で書いていますのでご了承ください。 Webアプリケーションのセキュリティ実装 例として、１１種類のセキュリティ脆弱性が挙げられています。 「何がまずいのか？」「どんなアプリで注意が必要なのか？」を 噛み砕いてからまとめていきます。 SQLインジェクション Part1（本記事） https://qiita.com/E-46/items/93199f38bdacd6b6076a OS コマンド・インジェクション Part2 https://qiita.com/E-46/items/aa43b6a01de8ab205591 1. SQLインジェクション どんな脆弱性なのか インジェクションとは「注入、投
HOME - 安全なWebアプリケーションの作り方 第2版 サポートサイト
このページは書籍「体系的に学ぶ 安全なWebアプリケーションの作り方」の公式サポートページです。本書に関する話題をつぶやく際は、ハッシュタグ #wasbook をお使いください。 2022年12月4日: M1/M2 Mac向けにDocker版の実習環境の提供を開始しました。詳しくはこちらから。 OWASP ZAPのバージョン 2.8.0 以降でエラー表示になる場合はこちらを参照ください。 2022年6月14日以降のFirefoxの設定変更に対応するためにはこちらを参照ください。 実習環境VMの不具合を修正した版(1.0.4)がダウンロード可能になりました（2022年8月24日）。【New】 著者: 徳丸 浩 @ockeghem 発売日: 2018年6月21日 ISBN: 978-4-7973-9316-3 出版社: SBクリエイティブ 価格: ￥3,456 (税込み) →出版社のサイト →
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
