脆弱性診断 設計書レビュー
脆弱性診断 設計書レビューは、お客様所有の設計書をベースに、必要に応じてお客様へヒアリングさせていただき、その内容を「セキュリティ要件が適切に考慮されているか」という観点から専門エンジニアが分析し、お客様環境を考慮した最適な報告・助言・提言をします。
開発フェーズにおける脆弱性対策の考え方（その1）
或るセキュリティ企業の調査結果によると、セキュリティ診断で発見された問題の実に6割以上が、設計フェーズまでに修正すべき問題であることが判っています。
開発フェーズ
開発フェーズにおける脆弱性対策の考え方（その2）
開発の上流工程から各工程のセキュリティ対策を適切に行うことで、工程を逆行するような戻り作業が減少し、セキュリティに関する改修コストの削減、システム開発の全工程において有効な脆弱性対策が施された、セキュリティ強度の高いシステム開発が実現できます。
開発フェーズ
設計書レビューの範囲
開発の上流工程から各工程に沿ってセキュリティ対策を適切に行うことで、開発の各工程で発生する可能性のある脆弱性を、より前の工程段階で対策することが可能となります。本来的には、運用フェーズでの脆弱性診断を含め、全てを実行するのが望ましい理想像となります。
脆弱性診断 設計書レビューとは
設計書レビュー 概要
お客様所有の設計書をベースに、必要に応じてお客様へヒアリングさせて頂き、その内容を「セキュリティ要件が適切に考慮されているか」という観点から専門エンジニアが分析し、お客様環境を考慮した最適な報告・助言・提言をします。
「なりすまし」「権限昇格」に絞った設計書レビューを実施するのが望ましいと考えます。
検出できる脆弱性の例 (Webアプリケーション)
商用の診断ツールでの検出が難しいのが現状です。
※ログイン機能のあるWebアプリケーションはセッション管理機能を有する為、潜在的にこの脆弱性を有している可能性がある。
なりすまし
AさんがBさんに不正になりすませる。
不正操作/個人情報の漏えいの可能性がある。
パラメータ改ざん
例えば通販サイトやオンラインバンキングでの金額・数量等の改ざんに不正利用・不正操作。
セッション管理の不備を突き、21万人への機械的な”なりすまし”試行の結果、大量の個人情報漏えいになったと言われる。
診断の観点
設計段階での“脆弱性”となりそうな問題の排除に繋がります。
- アプリケーション仕様対象サイトに固有のビジネスロジックについて、悪用の危険性を確認します。
- ユーザ認証方式のレビューID/パスワードの書式やアカウントロック、リマインダ機能等の設計方式をインタビューし、パスワードの推測・総当り攻撃等への考慮が十分であるか確認します。
- セッション管理方式のレビュー独自セッションIDの利用の有無やCookieの設定などをインタビューし、セッション管理方式の不備により、別ユーザになりすまされる危険性がないか確認します。
- アクセスコントロール方式のレビュー権限の無い情報を不正に閲覧されないための設計がなされているか確認します。
開発工程の手戻りを最小限にする現実解
システムのリリース前に脆弱性診断を行い、脆弱性を検出し、改修する従来型の方式では、開発の手戻りが避けられません。本来的には、開発の上流工程にセキュリティの観点を加えて、脆弱性の作り込まれてしまう要因を潰しこむべきですが、Webアプリ開発ポリシーやコーディング規約などを整備し、開発手順に組み込んでいくには相応の時間を要します。
本サービスを用いることにより、システム全体に影響する脆弱性などのセキュリティ上の課題を、実装の前段階で検出することが可能となります。開発工程の手戻りを最小限にするシフトレフトの現実解として、本サービスをご活用いただきたいと考えております。