セキュアにGoを書くための「ガードレール」を置こう - 安全なGoプロダクト開発に向けた持続可能なアプローチ - Flatt Security Blog
The Go gopher was designed by Renee French. (http://reneefrench.blogspot.com/) The design is licensed under the Creative Commons 3.0 Attributions license. 種々の linter が様々なプロダクトの品質を高めてきた、というのは疑う余地のない事実です。実装の初歩的な問題をエディタ内や CI/CD パイプライン中で機械的に検出できる環境を作れば、開発者はコーディングやコードレビューの邪魔になる些末な問題を早期に頭から追い出し、本質的な問題に集中できます。 また、そのような環境づくり（e.g. linter のルールセットの定義、組織独自のルールの作成、…）は、まさに開発組織のベースラインを定義する作業として捉えることができます。一度誰かが定義
セッションCookieのHTTP Only属性とSecure属性の違い - makicamelの日記
先日セッションにまつわる言葉についてまとめましたが、ふと表題の件も理解が曖昧だなと気になったので調べてみました。 HTTP Only属性とは cookie のスコープ(参照・操作の権限)を HTTP リクエストに制限するもの CookieのSecure属性/HttpOnly属性の指摘と修正方法と脆弱性の解説 この「HTTPリクエスト」という言葉が引っかかって「Secure属性と何が違うの？🤔」となっていたのですが、ここでいうHTTPリクエストはスクリプトによるリクエスト(XMLHttpRequest)に対する言葉。http or httpsは関係ありません。 つまり、HTTP Only属性はスクリプトからCookieへのアクセスを禁止してくれる属性。 もっと具体的にはXSS脆弱性があった際もCookieの盗み出しを予防してくれるもの(ただし、リスクの低減には役立つものの、完全に防衛できる
Pythonコードの安全を保つSAST(静的解析)ツール ~Bandit, Pyt~ - 好奇心の足跡
Python その2 Advent Calendar 2018 16日目の投稿が空いていたので、めっちゃ日が過ぎてますが飛び込み投稿。 今回は、昨今よく聞くようになった「DevSecOps」(DevOps + Security) 活動で重要になってくる、「セキュリティテストも自動で回す」を実現するためのツールを紹介します。 DevSecOpsについてはこのあたりを参照。2018年のトレンドらしいです。 2018年のトレンドは、DevOpsにセキュリティを融合した「DevSecOps」 (1/2) - ITmedia エンタープライズ 自動セキュリティテストには SAST, DAST, IAST と呼ばれるものがあります。 SAST: Static Application Security Testing（静的セキュリティ検査） ソースコード自体を解析・検査して脆弱性を見つけ出すもの 動くコ
Pythonのセキュリティ系ツール、コードメトリクス解析ツール - rokujyouhitoma's blog
備忘録として。 コードメトリクス解析ツール Radon 下記指標を計測可能。 循環的複雑度（Cyclomatic complexity） 保守容易性指数（Maintainability Index ） 循環的複雑度（Cyclomatic complexity）の計測例。 radon cc -s -e "*/tests/*" --min F src/保守容易性指数（Maintainability Index ）の計測例。 radon mi -s -e "*/tests/*" --min C src/ 参考 GitHub - rubik/radon: Various code metrics for Python code 保守性・可読性の高いPythonコードを実装するためにはどうすればよいか - はてなの金次郎 ファジングツール syzkaller/syzbot 参考 "syzbot"と"
OWASP/Go-SCPを読んでセキュアプログラミングとGoを学ぶ - My External Storage
この記事はGo Advent Calendar 2019の4日目の記事になる。 3日目は@ikawahaさんの「Goa v3 のテストをシュッとする]」だった。 本記事ではOpen Web Application Security Project（OWASP)が公開しているGo-SCPリポジトリを紹介する。 Webアプリケーションにはクロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）など、様々な脆弱性が潜む可能性がある。 脆弱性対策の書籍としては、体系的に学ぶ 安全なWebアプリケーションの作り方（徳丸本）などが有名だろう。 Go-SCPリポジトリにはWebアプリケーションを実装する際に必要な脆弱性の知識と、Goを使った脆弱性対策の実装方法が含まれている。 https://github.com/OWASP/Go-SCP TL;DR OWASPというWEB
2018年、PublicDNSまとめ - Qiita
はじめに 2018年に入ってから、プロバイダ(ISP)のDNSがISPより上位のレイヤーが遅い時間帯に引きずられるように応答を返さないことが多くなり「これはダメかも」という状態が多くなってきたのでパブリックDNSに乗り換えることにした Public DNSって? DNSは一般的にはプロバイダ(ISP)が用意してくれているので、回線に接続すれば自動的にプロバイダが提供しているDNSを利用することになります。特別な設定は必要ありません。ただ、その場合、セキュリティやドメイン更新速度もプロバイダの提供するものになります パブリックDNSはそういったISPに縛られることがない、公開されたDNSということになります。 それぞれのDNSの決まりなどがありますので、理由する場合は規約を見てから使うことをお勧めします。 Public DNSのメリット/デメリット メリット ・セキュリティ向上に役立つことが
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Secure Cookie Test | Analyze & Enhance Your Site's Cookie Security
Essential HTTP Headers for securing your web server
