「OWASP Top 10」をはじめ、業界標準ガイドラインの改訂相次ぐ
事後対応に重きを置いた「サイバーセキュリティ経営ガイドライン」 経済産業省は2017年11月16日に「サイバーセキュリティ経営ガイドライン」の改訂版を発表した。メッセージは当初から一貫している。サイバーセキュリティを経営課題の1つとしてとらえ、「技術者任せ」「現場任せ」ではなく、経営者が責任を持って取り組んでほしい、というものだ。 ガイドラインではかねて、サイバー攻撃に備えた「防御」だけでなく、攻撃を受けた場合に備えた「対応」「復旧」にも目を向けている。事後対応にも重点を置くよう推奨してきた。Ver 2.0ではこの方針が一層鮮明になったことが特徴だ。併せて、ビジネスパートナーや委託先なども含めた「サプライチェーン全体の対策強化」に関する項目を追加した。 経済産業省のガイドラインに対しては、旧版の公開当初からさまざまな反響があった。11月に公開された改訂版ではそうした声を踏まえ、より具体的な
OWASP Cheat Sheet Seriesを日本語訳して馴染みやすくしてみた。
OWASPとは、Webをはじめとするソフトウェアのセキュリティ環境の現状、またセキュアなソフトウェア開発を促進する技術・プロセスに関する情報共有と普及啓発を目的としたプロフェッショナルの集まる、オープンソース・ソフトウェアコミュニティです。ここでは、OWASP Japan公式サイト等では伝えきれないマル得情報を配信します。 OWASP Top 10に代表される日本語化された成果物と比較すると、日本語化されていないOWASPの成果物は馴染みづらい印象を受けるとともにその利用を躊躇しているといったご意見を何度かいただいています。 とはいえ日本語化されていない成果物の中にも有用な成果物は数多く存在し、その中でもOWASP Cheat Sheet Seriesはセキュリティを専任とする方をはじめ、開発者、設計者、マネジャー、利用者など、どの立場の方にとっても有用な情報が詰まっています。それゆえに、
ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法
以前、OWASP ZAP に追加された attack mode の概要 というエントリを書きましたが、このATTACK modeを使った簡単なセキュリティ検査の手順をメモしておきます。この機能を使えば、ウェブアプリケーションの開発中にZAPが勝手に脆弱性スキャンしてくれます。 ※ この機能が追加される バージョン 2.4 はまだリリースされていないのですが、こちら から ZAP Weekly をダウンロードすれば試すことができます。 概要基本的には、ウェブアプリケーション開発時にウェブブラウザのプロキシとして ZAP を指定おくだけです。この時、ZAP 側で コンテキストというものを設定して、ATTACK mode にしておけば、アクセスしたURLに対して勝手に脆弱性をスキャンしてくれます。 ATTACK mode についてOWASP ZAP に追加された attack mode の概要
Masato Kinugawa Security Blog: OWASP AppSec APAC 2014で発表しました
OWASP AppSec APAC 2014 で、はせがわようすけさん、malaさんと一緒に、「XSS Allstars from Japan」という枠で登壇しました。3人それぞれ好きなテーマについて発表をしたのですが、僕は、2011年頃から個人的にやってきた、文字エンコーディングの調査について発表しました。 スライドは以下で公開されています。 The Complete Investigation of Encoding and Security // Speaker Deck はせがわさんのスライドはこちら： Bypass SOP, Theft your data // Speaker Deck malaさんのスライドはこちら： XSS with HTML parsing confusion // Speaker Deck エンコーディングに関する様々な調査結果は以下で公開しています。
Conference Days全資料公開！ | OWASP AppSec APAC 2014
OWASP Global AppSec APAC 2014にご参加いただきありがとうございました！ ご来場くださった皆様のおかげで、感動的なカンファレンスとなりました。 この2日間で合計25セッションが27名のスピーカーにより提供されました。 カンファレンス最終セッションにあたり、全てのプレゼンテーション資料を以下のとおり公開いたします。 さらに、STUDENT IN APPSECなどのゲストスピーカーの資料も随時追加する予定です。 プレゼンテーション資料は、以下のリンク先にて閲覧できます。 https://speakerdeck.com/owaspjapan/ また以下のリンク先からは各資料を直接閲覧できます。 3月19日 Deploying information security management for proper data life-cycle ／ Suguru Yamag
OWASPを関西にも、カジュアル勉強会「OWASP Kansai」が発足
OWASPを関西にも、カジュアル勉強会「OWASP Kansai」が発足：Webデザイナーにも参加してほしい！ 2014年3月3日、大阪市のコワーキングスペース「TAM Coworking」にて、OWASP Kansai発足を記念した「OWASP Kansai Local Chapter Meeting 1st」が開催された。Webセキュリティに関心を持つ人々が集うカジュアルな勉強会で、東京（OWASP Japan）以外での支部（チャプター）発足は初となる。 OWASP（Open Web Application Security Project）はWebアプリケーションのセキュリティ改善に向けた啓発、研究活動を行う非営利団体で、日本ではOWASP Japanが2011年より活動を開始しており、2014年3月17日には「OWASP AppSec APAC 2014」を日本で開催する。 OWA
Webとモバイルのセキュリティに特化した国際会議「AppSec APAC 2014」が3月17～20日に開催
Webアプリケーションやモバイルアプリのセキュリティに関する国際会議「AppSec APAC 2014」が、2014年3月17～20日に東京・御茶ノ水で開催される。主催はWebアプリケーションのセキュリティ情報やツールを開発・公開している国際団体OWASP（Open Web Application Security Project）。AppSec APACの日本での開催はこれが初めて。OWASPの日本支部であるJapanチャプターが、AppSec APACの概要を2月21日に発表した。 AppSec APACは、ハンズオン形式のトレーニングを実施するトレーニング・デイ（17～18日）と、カンファレンス・デイ（19～20日）に分かれている。カンファレンス・デイのハイライトとしてOWASP Japanが紹介しているのが、（1）Webセキュリティにおける主要リスク上位10件をまとめた「OWASP
無償かつ高機能な「ModSecurity」をもっと活用しよう！
無償かつ高機能な「ModSecurity」をもっと活用しよう！：OWASP AppSec USA 2013 レポート（後編）（1/2 ページ） 前編に続き、講演内容を中心に、Webアプリケーションのセキュリティに関する国際的なカンファレンス「OWASP AppSec USA 2013」の模様をお伝えします。 2013年11月18日から11月21日の4日間にわたり、米国ニューヨークでWebアプリケーションのセキュリティに関する国際的なカンファレンスである「OWASP AppSec USA 2013」が開催されました。前回の記事に続き、そのトレーニングや講演の模様を紹介していきます。 注目すべきModSecurityの機能とは 筆者らが受講した2つ目のトレーニングは、「Web Application Defender’s Cookbook: LIVE」です。このコースはModSecurityを
深刻な「ブラインドSQLインジェクション」の脅威
2013年11月18日から11月21日の4日間にわたり、アメリカ合衆国ニューヨークでWebアプリケーションのセキュリティに関する国際的なカンファレンスである「OWASP AppSec USA 2013」が開催されました。 世界各国から開発者・研究者が一堂に会するこの一大イベントに参加してきましたので、その模様を報告します。 Webアプリセキュリティにまつわるあらゆる話題を扱う「OWASP」 OWASP（Open Web Application Security Project）は、WebアプリケーションおよびWebサービスのセキュリティ向上を目的とした、ボランティアによるプロジェクトです。 今回参加した「AppSec」をはじめとするカンファレンスの開催による知識の展開やトレーニングを通じた開発者のスキル向上の他、開発者向けガイドラインの作成、テストツールの開発・公開などを行っています。ツー
HTML5／スマホアプリ開発者が知らないと手痛い、セキュリティ5つの常識
HTML5／スマホアプリ開発者が知らないと手痛い、セキュリティ5つの常識：第8回OWASP Nightレポート 2013年11月14日夜、日本ヒューレット・パッカード（以下、日本HP）本社で「OWASP Night 8th」が開催された。 OWASP NightはWebアプリケーションのセキュリティ改善に向けた啓発、研究活動を行う非営利団体「OWASP（Open Web Application Security Project）」の日本支部が主宰する定期セミナーだ。第8回目となる今回は、日本HPが協賛しての開催となり、某TVドラマのロケ地にもなったという本社カフェテリアで濃厚なセッションが行われた。 当日は、こちらも日本HPが協賛する情報セキュリティカンファレンス「PacSec2013」、および「Mobile Pwn2Own」に参加した講師も登場し、大きな盛り上がりを見せていた。 本記事で
第8回OWASP Nightを開催、5つのセッションでWebセキュリティの課題を指摘
Webアプリケーションの安全性を確保するためのツールやガイドラインを公開しているOWASP（Open Web Application Security Project）。その日本チャプターが3カ月に1度の頻度で開催しているミーティング「OWASP Night」の第8回が、2013年11月14日に日本ヒューレット・パッカードの本社で開催された。 プログラムは大きく5つ。場所柄からか米Hewlett-Packard社からのゲストスピーカーによるセッションが2つあった。Enterprise Security Servicesでアジアパシフィック・日本担当Head of Security Consultingを務めるRichie Tan氏は「PCI Data Security Standard」（PCI DSS）と題するセッションに登壇した（写真1）。 PCI DSSはクレジットカードなどカード支
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
