ITmedia エンタープライズ：セキュアなアプリ開発で現場は変わる？ MS-IMEの場合 (1/2)
まず最初に取り組むのは、メンバー全体の意識およびスキルの底上げのための教育だ。マイクロソフトの場合、その方法は単純で、メンバー全員に「セキュリティ対策テクニック」という書籍を渡し、それを読み込むようにした。その上で幾つかのトレーニングを実施したという。 また、開発初期段階でセキュリティ設計も実施する。開発要求事項とセキュリティの関係を設計段階で対応させ、「機能仕様書の中にセキュリティ項目を混ぜ込む」（藤村氏）。 ある程度、プログラムのアーキテクチャとデータフローが明らかになった段階で、次は「脅威モデル」を作成する。幾つか考えられる脅威シナリオを書き、それと照らし合わせてデータの流れを検討。問題がある場合には再度アーキテクチャの設計をやり直す。 続く実装の段階では、開発の現場で現に行われている「コードレビュー」の中に、セキュリティに関するチェックを盛り込んでいく。マイクロソフトでは、レビュワ
FAQ：ソニーBMG製「rootkit」CD問題のおさらい
米国時間10日、かねてより予測されていた、ある悪質なソフトウェアがネット上で確認された。これらはソニーBMG（以下、ソニー）のCDによってユーザーPCのハードディスクにインストールされたコピー防止技術を悪用するものだった。 ある開発者がソニー製CDに「rootkit」ツールが組み込まれていることを明らかにして以来、コンピュータセキュリティ企業各社は、このようなエクスプロイトコードがネットに登場することを予測していた。rootkitは、CDに組み込まれたコピー防止技術の存在を外部から見えなくするために使われるものだが、攻撃者はrootkitが開けたセキュリティホールを利用してユーザーのPCにほかのソフトウェアをひそかにインストールする可能性があった。 このセキュリティホールを悪用するウイルス作者は、すぐに現れた。彼らは、以前につくったトロイの木馬に手を加えて、ソニーのソフトウェアが提供する強
グーグルの抱えるプライバシーのジレンマ - CNET Japan
Google CEOのEric Schmidtは、自分のホームページにそれほどたくさんの情報を載せていない。 しかし、Googleのサーチエンジンで30分も検索してみれば、今年50歳になるSchmidtが2004年末の時点で推定15億ドルの資産を保有していたことや、2005年に入ってGoogle株を売却し9000万ドル弱を手に入れたこと、さらにはこの2カ月のあいだに行った別の株式売却で少なくとも5000万ドルを稼いだことなどが分かる。 Schmidtと妻のWendyは、カリフォルニア州のアサートンという富裕層が居住する街で暮らしている。この街では5年前にAl Gore大統領候補の資金集めのパーティが開かれ--支持者は1人あたり1万ドルを支払ってこのパーティに参加した--、Goreと妻のTipperがElton Johnの歌う「Bennie and the Jets」にあわせてダンスを踊って
日本のセキュリティチームの Blog
当サイトの使用条件、コミュニティ利用規定または eXConn 削除規定に反する内容と判断されるコメントやトラックバックは、事前のお知らせなしに削除させていただく場合があります。ご了承ください。
毎月第2火曜は業界パッチデー？
Microsoftのパッチデーと他社のパッチリリースが重なることが増えてきた。他社はMicrosoftの陰に隠れようとしているが、これはオープンで正しいやり方ではない。 以前からそうした傾向は見られた。毎月第2火曜日はMicrosoftのパッチデーかもしれないが、この日は「業界のパッチデー」に発展した。 これは、Microsoftが業界を方向付けているケースの1つだ。こうしたことは皆さんが思っているよりも頻繁に起きている。Microsoftがセキュリティアドバイザリを発明したわけではないし、同社がアドバイザリの専門家にならずに済めばいいのに願っていることを天は知っている。だが、同社は顧客の声を聞き、このプロセスを会得した。 そして今、他社も耳を傾けている。彼らはMicrosoftをまねようとしただけではなく、毎月第2火曜日にMicrosoftの陰に隠れようとしている。これはオープンで正しい
NHKとリニアと原発の関係。- セキュリティホール memo
Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。 ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。 このページの情報を利用される前に、注意書きをお読みください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SMBC「簡単！やさしいセキュリティ教室」 | スラド Linux