世間の認識と脅威レベルのギャップ――XSSは本当に危ないか？

皆さんこんにちは、川口です。コラムの第6回「IPSは“魔法の箱”か」でまっちゃ１３９で講演をしたお話を書きましたが、今度は関東でやっている「まっちゃ４４５」にお招きいただき、お話ししてきました。 まっちゃ４４５は募集開始から定員が埋まるまでがとても速く、今まで参加したことがなかったのですが、今回は運良く（？）講師側ということでキャンセル待ちにならずに参加することができました。ロックオンの福田さんがオープンソースのECサイト構築システム「EC-CUBE」に脆弱（ぜいじゃく）性が発見された際のインシデントハンドリングのお話をされていました。EC-CUBEにSQLインジェクションとクロスサイトスクリプティング（以下、XSS）が発見されたあとの対応のお話です。JSOCで日々インシデントにかかわっているいる自分としてはとても興味深い内容でした。 日本のエンジニアのセキュリティ意識は過剰？ 今回のよう

[Kmusiclife]

かなり深い。

[tatakauashi]

興味深いです。さすが川口先生！　自分もチームメンバやお客様と話をするときにこの記事を参考にさせていただき、よく考えて発言するようにします。

[solidstatesociety]

そろそろ

[psychedesire]

ん～。常に瀬戸際なベンチャー企業だったら、どんな危険も潰しておかなきゃいけない気がするけどなぁ～。

[setamise]

『適切な優先順位付けをしましょう。不安を煽るのはやめましょう』については同意。LAC社員が言ったことに意味がある。

[muamqm]

ふぅーむ

[ghostbass]

稼動中のコードを修正するコストは高いかもしれないけど稼働前のコードに対策仕込むのはそんな高コストじゃない気がするんですが

[f-shin]

現場は悶々としてるのかなぁ。クライアントの脆弱性狙いの攻撃は、何それおいしいの？死ぬの？という部分が定量的に言えないとビジネス判断でスルーされる可能性がある。ギャップがあると不感症になるのがIT

[nekoluna]

「XSSをやっても不正アクセスにはならないから企業のサイトをガンガン攻撃しよう」 参考になた　ちょっくらガンガンあそんでみるわ

[superrush4x]

XSS、メンテする人がいなくなったシステムでよく見かけますwww

[hiro_y]

セキュリティリスクとコストをどう天秤にかけるか。もちろん、リスクの高い部分は優先的に対策が必要。

[zorio]

「“正義の味方”的な人に「ここは脆弱性があるぞ」とさらされます」

[tsupo]

「発生頻度が低いリスクに関しては、リスクを保有する」 → 「リスク管理」理論はそうなんだけど、この記事を鵜呑みにして、XSSを放置した挙句、被害に遭うサイトが出てきたら、この人、ちゃんと責任取るの?

[stealthinu]

これ、LACの人が言うの、勇気がいったろうなあ。

[shigeo-t]

確かにトラサーバル系やインジェクション系、CSRFにくらべたらXSSだと今のところ脅威は低いかもしれない。今のところだけど。

[yusukem]

誰か定量的な話をしてくれ

[lan_taso]

XSSがあるとどれだけ被害が出るかというのが重要で「事例がないから」というのは対策しない理由にならないよね…、まあXSSの対応なんてそんなに難しいもんでもないしとりあえず対応しとけばいいと思うよ

[matsutakegohan1]

釣り

[raimon49]

＞「危険であることの証明」より「危険ではないことの証明」の方が難しい

[Cherenkov]

jsoc lac

[fujiyoshisyouta]

うなづける話。 / だが、一方で昨今のウィルスにはスピア型が増えているとよく耳にするんだが。

[nilab]

世間の認識と脅威レベルのギャップ XSSは本当に危ないか？:「いつかXSSもお金もうけの手段として使うことができるようになる可能性も」「そのときに警鐘を鳴らす」目に見えないユーザの信頼度とかもあるけどね

[otchy210]

理屈は分かるが判断は非常に難しい。費用対効果を考えるクラッカーは手を出さないだろうが、特定のサイトをピンポイントで狙うならいくらでも悪用できる。経験談。

[al001]

セッションハイジャックされたら困っちゃいます＞＜

[GOT4416]

費用対効果は大事よね

[hiragisan]

「悪用が難しく、発生頻度が低いリスクに関しては、リスクを保有するのが自然」

[itochan]

セキュmemoから来ました。　http://www.st.ryukoku.ac.jp/~kjm/security/memo/2009/03.html#20090318__XSS 　これひど　／　直接的か間接的か、間接的だからダウンローダーは怖くないかみたいな話と思ってるのに。

[taqpan]

コスト対効果

[TAKESAKO]

>「今のようにSQLインジェクション大規模な情報漏えい事件が頻発することは夢にも思いませんでした。時代は変わるものです。いつかXSSもお金もうけの手段として使うことができるようになる可能性も十分あります。」