開発に使える脆弱性スキャンツール - NTT Communications Engineers' Blog
この記事は、 NTT Communications Advent Calendar 2022 7日目の記事です。 はじめに こんにちは、イノベーションセンター所属の志村と申します。 「Metemcyber」プロジェクトで脅威インテリジェンスに関する内製開発や、「NA4Sec」プロジェクトで攻撃インフラの解明・撲滅に関する技術開発を担当しています。 今回は「開発に使える脆弱性スキャンツール」をテーマに、GitHub Dependabot, Trivy, Grypeといったツールの紹介をさせていただきます。 脆弱性の原因とSCAによるスキャン 現在のソフトウェア開発は、多くのOSSを含む外部のソフトウェアに依存しています。Python、Go、npm など多くの言語は、様々なソフトウェアをパッケージとして利用できるエコシステムを提供しており、この仕組みを利用してOSSなどのコンポーネントをソフト
ASP.NET Core Security の概要
ASP.NET Core によって、開発者はセキュリティを構成して管理することができます。 次の一覧に、セキュリティに関するトピックへのリンクを示します。 認証 承認 データ保護 HTTPS の適用 開発中のアプリ シークレットの安全な格納 XSRF/CSRF 防止 クロス オリジン リソース共有 (CORS) クロスサイト スクリプティング (XSS) 攻撃 これらのセキュリティ機能を使用すれば、堅牢かつセキュアな ASP.NET Core アプリを構築できます。 ASP.NET Core セキュリティ機能 ASP.NET Core には、ASP.NET Core アプリをセキュリティで保護するための多くのツールとライブラリが用意されています。たとえば、組み込みの ID プロバイダーや、Facebook、Twitter、LinkedIn などのサードパーティの ID サービスなどです。
DevSecOpsも実現できる。コンテナアプリを脅威から簡単・確実に守る方法：コンテナセキュリティ、5つの勘所とは？ - ＠IT
DevSecOpsも実現できる。コンテナアプリを脅威から簡単・確実に守る方法：コンテナセキュリティ、5つの勘所とは？ Web／モバイルアプリケーションが重要な顧客接点となっている近年、ITサービス開発・改善のスピードを獲得するべく、コンテナ活用に乗り出す企業が増えている。だが重要なのは「スピード」だけではない。セキュリティも確実に担保しなければ自社の社会的信頼を失墜させてしまう。ではスピードやポータビリティといったコンテナのメリットを享受しながら確実にセキュリティを担保するためにはどうすればよいのか？ コンテナセキュリティに詳しいソフトバンク コマース&サービスの竹石渡氏に話を聞いた。 開発・改善のスピードを重視するあまり、セキュリティがおろそかに…… デジタルトランスフォーメーションのトレンドが進展し、ビジネスがソフトウェアの戦いに変容して久しい。テクノロジーを使った新たな体験価値、より
コンテナセキュリティのリスクと対策 - sagantaf
はじめに コンテナ技術のセキュリティリスクとは コンテナのライフサイクルから見えるリスクと対策 コンテナ周りのコンポーネントから見えるリスクと対策 まとめ 参考資料 はじめに 最近のDockerやKubernetesの発展により、コンテナを利用したサービスやシステムの構築が盛んになっています。 しかし、環境を構築することがまず優先されてしまい、セキュリティに対する意識が薄くなっているそうです。 確かに、コンテナ技術を使ってサービスを構築するにあたり、セキュリティのことは気にはなりつつも、まずはDockerやKubernetesをどう使うかを優先してしまいがちです。 しかし、あらかじめコンテナ技術に対するセキュリティリスクと対策について概要だけでも知っておくことで、Docker、Kubernetesを使うときの考え方・意識が変わるはずです。 そこで、本記事にて「コンテナのセキュリティ対策とは
SafeResolver.java
SafeResolver.java �tR V p�tR V package example; import org.apache.commons.beanutils.expression.DefaultResolver; public class SafeResolver extends DefaultResolver { @Override public String next(String expression) { String property = super.next(expression); if ("class".equalsIgnoreCase(property)) { return ""; } return property; } } SafeResolverListener.java �S�R V ` �R V package example; import java
JavaScriptでセキュアなコーディングをするために気をつけること – cybozu developer network
（著者：サイボウズ kintone開発チーム 天野 祐介） kintoneはJavaScriptを使って自由にカスタマイズすることができます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできるようになりますが、セキュアなコーディングをしないとクロスサイトスクリプティング脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的な点を解説します。 主な原因 脆弱性を作り込む主な原因になるコードは、要素の動的な生成です。特に、レコード情報などのユーザーが入力した値を使って要素を生成するときに脆弱性が発生しやすくなります。 対策 document.write()やelement.innerHTMLを使って要素を生成するときは、コンテンツとなる文字列をかならずHTMLエスケープするようにしましょう。 以下は
世の中に満ち溢れる「パスワードの定期的変更」についてまとめてみた。 - piyolog
いつも盛り上がる「パスワードの定期的な変更」ネタですが、多くの組織でこの対策が推奨されているということをTwitterで知りました。ここではパスワードの定期的変更についてまとめます。 パスワードの定期的変更の考察・関連記事 まずはここを読みましょう。 Bruce Schneier Schneier on Security: Changing Passwords 徳丸さんの記事 パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記 続パスワードの定期変更は神話なのか - ockeghem(徳丸浩)の日記 「管理者パスワードは何日ごとに変更すればよいか」に関する質疑応答 - ockeghem(徳丸浩)の日記 パスワードを定期的に変更する理由は何ですか? - QA@IT パスワードの定期的変更に関する徳丸の意見まとめ パスワードの定期的変更について徳丸さんに聞いてみた(1
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
developerforce - Calendar of Upcoming Events
The content on this page has been retired. Have you tried the links above or the search bar?
トップ
Clean Craftsmanshipをいただきました。いつものボブおじさんのClean XXXシリーズ。 ボブおじさんの書籍シリーズの良いところは、自分は以下のように見ている。 前提知識が少なくても出来る限り理解できるように練られている。 高尚な話ではなく、現場叩き上げの話が中心。 なんとなく、これおかしいよなぁと薄々感じつつも、現場の空気で言えないようなことを、ズバっと言ってくれる(Clean Codeでの「コメントは害悪」など)。 今回も個人的に面白かった部分を取り上げたい。 第2章 この章は基本的にTDDの実践をサンプルを使って詳しく記載している。基本的な部分から解説されているので、TDDについては初めてという初心者の人でも全く問題なく理解できるだろう。前提知識不要というのは素晴しい。 「デバッガーが得意になることを目指すべきではない」 テストコードを数行書き、エラーやテスト失敗を
技術/Security/CSRF対策参考メモ - Glamenv-Septzen.net
id: 1050 所有者: msakamoto-sf 作成日: 2012-01-08 20:08:56 カテゴリ: セキュリティ [ Prev ] [ Next ] [ 技術 ] 今更ながらCSRFやCSSXSS関連の参考リンクをメモ。 開発者のための正しいCSRF対策 http://www.jumperz.net/texts/csrf.htm 高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由, hiddenパラメタは漏れやすいのか？ http://takagi-hiromitsu.jp/diary/20060409.html おさかなラボ - [CSRF]高木氏のエントリへの返答 http://kaede.to/~canada/doc/csrf-response-to-mr-takagi CSRF対策のトークンをワンタイムにしたら意図に反して脆弱になった
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
はてなブックマークボタンのトラッキング問題で高木浩光先生が決別ツイートをするに至った経緯まとめ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
模倣サイト注意喚起に踊った輩は何が迂闊だったか
模倣サイトとして各所から注意喚起が出されているサイトは、模倣サイトではなくAnonymous Proxyサービスと呼ばれるもの
Java コーディングスタンダード CERT/Oracle 版
主要公表資料 [内閣サイバーセキュリティセンター]