アジャイル型開発における プラクティス活用事例調査 調査報告書 ~ガイド編~ 平成 25 年 3 月 19 日 独立行政法人情報処理推進機構 技術本部 ソフトウェア・エンジニアリング・センター はじめに 独立行政法人情報処理推進機構 技術本部 ソフトウェア・エンジニアリング・センタ ーでは、 「日本のソフトウェア産業の競争力を強化すること」 、 「エンジニア 1 人ひとり が生き生きと働ける環境を作ること」を目指すべきゴールとして、 「日本国内における 非ウォーターフォール型開発の普及促進」と「わが国のソフトウェア産業の特性に照ら した非ウォーターフォール型開発の課題解決」を目標に掲げ、平成 21 年度から調査検 討に取り組んで参りました。その中で、開発手法の実践的な解説書と実例やテクニック 等の工夫を取りまとめた Tips 集を、 広く一般に公開することか求められていることが 分かりまし
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
共通脆弱性評価システム CVSS ( Common Vulnerability Scoring System) は、情報システムの脆弱性に対するオープンで包括的、汎用的な評価手法の確立と普及を目指し、米国家インフラストラクチャ諮問委員会( NIAC: National Infrastructure Advisory Council )のプロジェクトで 2004年10月に原案が作成されました。 その後、CVSSの管理母体として FIRST(Forum of Incident Response and Security Teams)が選ばれ、FIRSTのCVSS-SIG(Special Interest Group)で適用推進や仕様改善が行われており、2005年6月にCVSS v1が、2007年6月にCVSS v2が公開されました。 IPAもCVSS-SIGに参画しており、脆弱性対策情報データ
1.3 IP Spoofing IP Spoofingとは、IPアドレス偽装攻撃とも呼ばれ、基本的な手法の一つです。 これは、自IPアドレスを相手のIPアドレス等に偽装し攻撃を仕掛けたり、 Firewallを突破するという方法です。 単独で利用する場合、相手のホストがIPアドレスで接続先を制限している場合や、 相手のホストに侵入したとき、logなどに自IPアドレスが残されると困る場合などに使用されました。 この手法が考え出されたときには、このような使用がなされていましたが、 現在ではDoS攻撃に使用するなど、 他の攻撃手法の中で応用されています。 図1.3-1 IP Spoofingの一例 IP Spoofingは、信頼と認証の関係において隙を突くものです。 ホストやネットワーク同士を接続するにあたり、相手が信頼できる場合は認証を緩め、 信頼できない場合は認証を高める
-放置すれば情報漏えい~信用失墜に至る可能性も。 ウェブサイト運営者は早急にDNSサーバのパッチ適用や設定変更を!- 最終更新日 2009年2月6日 掲載日 2008年9月18日 >> ENGLISH 独立行政法人情報処理推進機構(略称:IPA、理事長:西垣 浩司)は、「DNSサーバに対するDNSキャッシュポイズニングの脆弱性」の届出が激増していることから、ウェブサイト運営者へ注意を喚起するとともに、DNSサーバのパッチ適用や設定変更を呼びかけます。 DNS(Domain Name System)(*1) キャッシュポイズニング(汚染)の脆弱性に関して、2008年7月に複数のDNS サーバ製品の開発ベンダーから対策情報が公開されています(*2)。また、この脆弱性を悪用した攻撃コードが既に公開されていたため、2008年 7月24日、IPAはウェブサイト運営者へ向けて緊急対策情報を発行しました
IPA(独立行政法人情報処理推進機構、理事長:西垣 浩司)およびJPCERT/CC(有限責任中間法人JPCERTコーディネーションセンター、代表理事:歌代 和正)は、2009年第1四半期(1月~3月)の脆弱性関連情報の届出状況(*1)をまとめました。 届出状況の詳細(本文および別紙1、2)は次のPDFファイルをご参照ください。 ソフトウエア等の脆弱性関連情報に関する届出状況 [2009年第1四半期(1月~3月)](778KB) 以下は本文および別紙1の抜粋です。 今四半期(2009年1月1日から3月31日まで)に届出を受理したウェブサイトの脆弱性は821件でした。これらの脆弱性の種類は、DNS(*2)の設定不備(DNSキャッシュポイズニングの脆弱性)が343件(42%)、クロスサイト・スクリプティングが334件(41%)、SQLインジェクションが100件(12%)となっており、この3種類の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く