【書評】「コンテナセキュリティ コンテナ化されたアプリケーションを保護する要素技術」 | DevelopersIO
セキュリティに限定せず、「コンテナとは何か」から詳細に説明しています。コンテナやセキュリティの深淵に触れてみたい方にお勧めの、遅効性の良書という印象です。 コーヒーが好きな emi です。 コンテナを使ったアーキテクチャは引き合いも多く、私も常々しっかり学ばねばならないと思っていました。そんな折、以下のイベントでコンテナセキュリティに関する内容で登壇をすることになりました。 コンテナセキュリティについて学ぶため「コンテナセキュリティ コンテナ化されたアプリケーションを保護する要素技術」を読みましたので、本記事では本書の概要と感想を記載します。 書籍情報 書籍タイトル : コンテナセキュリティ コンテナ化されたアプリケーションを保護する要素技術 著者 : Liz Rice（著）、株式会社スリーシェイク（監修）、水元 恭平、生賀 一輝、戸澤 涼、元内 柊也（訳） 出版社 : インプレス 出版日
OWASP Proactive Controls | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept What is This? The OWASP Top Ten Proactive Controls describes the most important controls and control categories that every architect and developer should absolutely, 100% include in every project. OWASP Top 10 Proactive Controls 2018 Software developers are the foundation of any app
OWASP ZAPでWebアプリケーション脆弱性診断 | GMOアドパートナーズグループ TECH BLOG byGMO
このエントリーは、GMOアドマーケティング Advent Calendar 2018の 【12/12】 の記事です。 GMOアドマーケティングとしては初のAdvent Calendar参戦です。 こんにちは。GMOアドマーケティングのN.Sです。 この度Webアプリケーションの脆弱性診断について研修を受けたので、内容について共有します。 OWASP ZAPという自動診断ツールを使って、診断から対策までの流れをざっと説明します。 環境 Mac：10.12.6(Sierra) OWASP ZAP：2.7.0 Burp Suite：1.7.36 インストール OWASP ZAP：https://github.com/zaproxy/zaproxy/wiki/Downloads Burp Suite：https://portswigger.net/burp/communitydownload 対象
Docker版OWASP ZAPを動かしてみる - Qiita
Usage: zap-baseline.py -t <target> [options] -t target target URL including the protocol, eg https://www.example.com Options: -h print this help message -c config_file config file to use to INFO, IGNORE or FAIL warnings -u config_url URL of config file to use to INFO, IGNORE or FAIL warnings -g gen_file generate default config file (all rules set to WARN) -m mins the number of minutes to spider fo
EC-CUBE Penetration Testing with OWASP ZAP
はじめに Attention!! このツールは、サイトを実際に攻撃し、脆弱性が無いかを確認するツールです。 必ずローカル環境の Docker でのみ使用し、稼動中のサイトには決して使用しないでください。 意図せずデータが更新されたり、削除される場合があります。 テストは自己責任で実施し、株式会社イーシーキューブ及び、関連する開発コミュニティは一切の責任を負いかねますのであらかじめご了承ください。 手っ取り早くテスト環境を作成したい方のために Quick Start をご用意しました。 現在、このテストの自動化を進めています。試してみたい方は こちらの README をご覧ください。 このドキュメントは、EC-CUBE のリリース前に実施しているセキュリティテストを横展開し、より多くのユーザーに利用してもらうことを目的に作成しています。 単なる手順書のみではなく、テストに対する考え方、改善方
†OWASP ZAP入門-設定から診断まで-† - Qiita
初めに 業務でOWASP ZAPを用いた脆弱性診断を行う機会があったので備忘録的に。 設定から実際の診断までの流れを一通り説明します。 環境 macOS High Sierra ver 10.13.6 OWASP ZAP ver 2.8.0 ダウンロード こちらからダウンロードすることができます。 起動 OWASP ZAP起動時、以下のダイアログが出現します。 ver2.4以降、セッションの保持方法が選択可能となりました。セッションにより保持されるデータは、アクセス/スキャンしたURL、そのリクエスト/レスポンス、発見された脆弱性などです。しかし、スパイダーや動的スキャンそのもののデータは保持されません。 セッションデータを読み込むことで、設定や診断結果を再現することが可能となります。 全ての場面ではなく、必要に応じて保存すればよいケースがほとんどだと思うので、「継続的に保存せず、必要に応
Docker版OWASP ZAPを使用してWebアプリの簡易的な脆弱性診断をしてみた | DevelopersIO
こんにちは、CX事業本部の若槻です。 最近Webアプリケーション向けのセキュリティ診断ツールについて調べてみたところ、OWASP ZAPというオープンソースツールが定番としてよく使われているそうです。 https://owasp.org/www-project-zap 今回は、Docker版OWASP ZAPを使用してWebアプリのログインページの簡易的な脆弱性診断を行ってみました。 なぜDocker版を使ったのか OWASP ZAPにはWindows、Mac、Linuxで使えるインストーラー版およびパッケージ版と、Docker版があります。 https://www.zaproxy.org/download/ 当初はMac向けインストーラー版を使おうとしましたが、Macのセキュリティによりインストールできなかったため断念しました。 よってインストールを要しないDocker版を使うこととしま
OWASP ZAP 2.6.0 のインストール方法（Windows） - Qiita
2017年3月29日（水）の夜（日本時間）にOWASP ZAPの2.6.0がリリースされました。 ざっくりと見た限り、ツールの機能的には特別大きな更新はありませんが、Windows用のインストーラーがガラッと変わりました。 見た目だけの変更なら良いのですが、途中で、OWASP ZAPの使用方法に詳しくないと何を選択してよいかわからない場面があるので記事を起こしてみました。 Windowsインストーラーのダウンロード 次のサイトでWindows用インストーラをダウンロードします。 正常にダウンロードが完了したら、ダウンロードしたファイル（64bit版はZAP_2_6_0_windows.exe。32bit版であればZAP_2_6_0_windows-x32.exe）を実行します。 ライセンス契約 OWASP ZAPのライセンス契約については、バージョン2.5.0まではインストール後の初回起動
2017 OWASP World Tour Tokyo - あしのあしあと
久しぶりの Web。周回遅れになっているので、情報収集のために参加した。思っていたのとは、ちょっと違った*1が、参加してよかった。充実した 1 日になった。 案内 https://www.owasp.org/index.php/2017_OWASP_World_Tour_Tokyo 詳細 Opening "OWASP Project Overview for Developers" Training 1 "OWASP TOP 10 を用いた脆弱性対応" Training 2 "最小権限の具体的な実現方法" Training 3 "開発者・運用担当者に向けた、OWASP ZAP を用いた脆弱性診断手法" Training 4 "OWASP BWA を用いた学生および職員向けトレーニング" Training 5 "開発プロジェクトの現状を把握する OWASP SAMM の活用" Closing
OWASP ZAP – 簡単にWeb脆弱性診断ができる診断ツール | そるでぶろぐ
こんにちは。ソリューション開発部の羽澤です。 現在、インターネット上に公開されるWebアプリケーションの開発をさせて頂いております。インターネット公開と言えばやはりセキュリティ対策が必須となります。 今回のプロジェクトでは、我々アプリケーション開発チームとは別に、セキュリティテストを行うチームが組まれることとなりました。ですので、セキュリティテストの計画立案～テスト実施まで、そのチームがおこないます。ここで問題が発見された場合、我々アプリケーション開発チームが対応するという体制です。 我々アプリケーション開発チームは、セキュリティテストチームからの挙がる指摘を極力少なくしなければなりません。これを出来る限り少ない工数で行うのが、今回の目的となります。 対応すべきWebサイトのセキュリティ脆弱性とは今更ではありますが、代表的な脆弱性を明確にしておきます。情報処理推進機構から、代表的なWebサ
OWASP ZAP を使った脆弱性診断
本日のブログは岩石が担当です。秋も深まり各地で秋祭りが催される時期になりました。 来週には旧暦で神無月に入りますが、弊社のある島根県出雲地方では神有月（かみありつき）となります。 今年も多くの神様方がいらっしゃることでしょう。 今回のブログは私のことでは無く、社内での社員の活動について書きます。 先ごろから、契約管理などに使用する事務システムの開発を社内で行っています。これまで事務管理は表計算ソフトで行っていましたが、社員の増加や役割の分割、また顧客数の増加などにより表計算ソフトでの対応では効率が悪いケースが発生しているため、以前よりシステムのWeb化を目論んでおりました。 今年度開発業務担当の新卒社員を迎え入れたことから、OJTの対象として取り組んでいます。スクラム手法で開発に取り組んでいますが、先日最初のリリースを行いました。 社内の規程で、業務に使用するアプリケーションをリリースする
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OWASP Top Ten Proactive Controls 2018 | C1: Define Security Requirements | OWASP Foundation
RailsGoat Home Page
Google Code Archive - Long-term storage for Google Code Project Hosting.%25E3%2581%25AE%25E6%2597%25A5%25E6%259C%25AC%25E8%25AA%259E%25E5%2588%25A9%25E7%2594%25A8%25E3%2581%25AB%25E3%2581%25A4%25E3%2581%2584%25E3%2581%25A6)
doruby.jp
doruby.jp
https://github.com/ueno1000/secreq/blob/master/OWASPWebApplicationSecurityRequirements2.0.pdf