Webアプリケーションの脆弱性テストフレームワーク「w3af 1.0」リリース - SourceForge.JP Magazine : オープンソースの話題満載
Webアプリケーションの脆弱性を発見するフレームワーク「Web Application Attack and Audit Framework（w3af） 1.0」が公開された。SourceForgeのプロジェクトページよりダウンロードできる。 w3afはWebアプリケーションの脆弱性を発見したり、実際に脆弱性に対する攻撃を行うためのフレームワーク。開発者やセキュリティ研究者が、Webアプリケーションのセキュリティ検査やテストに利用することを想定している。プログラムはPythonで書かれており、GPLで公開されている。コアのほか、SQLインジェクション、クロスサイトスクリプティング（XXS）などをチェックできる130種以上のプラグインを持つ。 初の正式版では、コードの安定性、自動アップデートなどの特徴を持つ。クラッシュを最小限に抑え、常に最新機能を使えるという。 新機能としては、PHPの静的
監査手続ガイドラインとは
経済産業省では、平成20年11月に、「情報セキュリティ管理基準」（平成15年経済産業省告示第112号）を改定し、「情報セキュリティ管理基準（平成20年改正版）」（平成20年経済産業省告示第246号、平成21年2月1日適用）を発行しました。改訂版は、最新の国際規格であるISO/IEC 27001:2005（JIS Q 27001:2006）及びISO/IEC 27002:2005（JIS Q 27002:2006）に基づいており、ISMS認証取得、及び情報セキュリティマネジメントの確立を目指す組織、並びに情報セキュリティ監査の実施、及び監査を受ける組織など幅広い利用者を想定した情報セキュリティのための管理基準となっています。 現在、経済産業省からパブリックコメント募集中の「情報セキュリティ監査手続ガイドライン」（以下、監査手続ガイドライン）とは、上記の情報セキュリティ管理基準（平成20年改
ラックとネクストジェン、IP電話のセキュリティ診断サービスを開始
ラックとネクストジェンは3月3日、IP電話などで使われるSIP／VoIPシステムのセキュリティ診断サービスを始めた。 同サービスはIP-PBXやSIPサーバ、IP電話端末などに存在する脆弱性の洗い出しと報告会の実施する企業向けのサービス。一般企業向けの「スタンダード」と通信事業者などを対象に細部まで診断を行う「アドバンスト」の2種類のメニューを用意する。 大量の発呼や不正なメッセージの送信など、システム停止につながるDoS攻撃の脆弱性を診断するものや、TCP／UDPポートスキャンとICMPのリクエスト／レスポンスでの模擬攻撃を実施するもの、報告会を複数実施するオプションも用意する。 利用料金は、スタンダードでのサーバ診断が127万5000円から、端末の診断が153万円から。アドバンストのサーバ診断が280万5000円から、端末の診断が369万8000円からとなる。 過去のセキュリティニュー
米政府主導のセキュリティ監査ガイドライン「CAG」ドラフト版が公開
サイバー・セキュリティ問題に取り組む米連邦政府機関と民間組織のコンソーシアムは米国時間2009年2月23日，サイバー・セキュリティ対策とFISMA（連邦情報セキュリティ管理法）準拠のための重要20項目を定めたガイドライン「CAG（Consensus Audit Guidelines）」のバージョン1.0（ドラフト版）を公開した。米SANS InstituteのWebサイトからダウンロード可能。一般公開（パブリック・レビュー）は同年3月23日まで。 CAGの最終版は，組織や企業におけるぜい弱性の測定基準となることを想定している。ドラフト版では，サイバー・セキュリティに深くかかわっている政府機関の専門家が，過去の経験や知識を持ち寄り，企業や組織が既知の攻撃および近い将来起こり得る攻撃を防御し，被害を最小限に食い止めるために実施するべき20の行動を定義した。 パブリック・レビューを通じて世界の専
日本情報処理開発協会 JIPDEC
他団体からのお知らせ システム監査学会 講座のご案内 「第２回情報セキュリティ専門監査人資格認定講座」（平成20年11月17日〜11月21日） 「第１回個人情報保護専門監査人資格認定講座」（平成20年11月10日〜11月14日） 「第２回会計システム専門監査人資格認定講座」（平成20年12月8日〜12月12日） システム監査学会 第２１回公開シンポジウム（平成20年11月7日） 統一論題 「経営インフラを支えるシステム監査−ビジネス改革・内部統制から工事進行基準まで−」 ＥＣネットワーク 「インターネット詐欺対策集｣を公開中
最適なシステム環境を維持する方策とは？
「システム監査」について、その本質や具体的な内容を知っている情報マネージャは少ない。本連載ではシステム監査の目的やポイント、重要性を説明していく。第1回は「システム監査」の概要について。 皆さんは「システム監査」という言葉を耳にしたことがありますか？ 「会計監査」は多くの方がご存じだと思います。「業務監査」という言葉も身近でしょう。しかし「システム監査」となると、ご存じの方、本質を理解している方はまだまだ少ないのが実情です。 そこで今回から5回にわたって「システム監査」についてお話ししていきます。ぜひ、この5回の話を通して「システム監査」の重要性を理解し、皆さんの会社でも「システム監査」の導入・実施を検討していただければ幸いです。今回は「システム監査」とはどのようなものなのか、概略的に述べていきます。 監査の最大のポイントは「独立した組織が行う」こと システム監査の話をする前に、まず「監査
IT news, careers, business technology, reviews
Generative AI will drive a foundational shift for companies — IDC
DB監査ツール
DB監査ツールの三大機能は，「記録」「警告」「集計・レポート」である。記録する情報に抜けがないか，きめ細かいか，使いやすいか，などが選択のポイントとなる。ポリシー違反の抑止力向上に生かすなど，導入効果を高める工夫も有効だ。（実森 仁志＝日経SYSTEMS） 「個人情報保護法」と「日本版SOX法」。これらの法律に適応するには，データベース（DB）へのアクセス制御を厳格化すると同時に，アクセス記録を証跡として残す必要に迫られる。こうした背景から，「DB監査ツール」の注目度が一気に高まった。 単にDBへのアクセスを記録するだけであれば，商用DBMSの多くが搭載する「監査機能」を使えば済む。それでも現場担当者はDB監査ツールを導入している。あるユーザー企業の情報システム子会社は，「DBMSの監査機能だけでは記録しかできない。違反を見つけて警告するとか，状況をレポートするといった機能がない。実用性に
セキュリティテストには攻撃者の視点が肝心
ソフトウェアセキュリティエンジニアとトレーナー、両方の経験から言うと、物事を理解する早さは人によって大きく違うものだ。だが、本来優秀な人がなかなか実力を発揮しないことも多い。どんなバグでも突き止められるベテランのテスターが、セキュリティテストにはなかなか習熟できない、といったことがよくある。わたしはこの数年、世界最大級のソフトウェアベンダー数社で開発者チームのトレーニングに従事する中で、彼らの行動を調べ、優れたセキュリティテスターに必要なものを明らかにしようとしてきた。その結果分かったことを紹介しよう。 セキュリティテスターに必要な3つのスキル わたしは、セキュリティテスターは皆、以下の3つの専門スキルをベースとして持たなければならないという結論に達した。 優れた想像力 多くの場合、セキュリティテスターとして欲しい情報は、すべて手に入るわけではない。例えば、SQLインジェクションの脆弱性を
ハッキング・コンテストは「有害」ではない
米国で4月に開催されたセキュリティ・カンファレンス「CanSecWest」で，OS Xを実行している米Appleの「MacBook Pro」に侵入できる人を募集する「ハッキング・コンテスト」が行われたことをご記憶の方も多いだろう。侵入対象のノート・パソコンが賞品になっていたほか，米3comの一部門であるTippingPointが，OS Xへの侵入に使われたぜい弱性の詳細に対する独占権と引き換えに，1万ドルの賞金を出していた（関連記事：オープン・ネットワークを利用する上での大きなリスク）。 このハッキング・コンテストでは，成功者が現れた。Dino Dai Zovi氏はShane Macaulay氏と協力して，Apple QuickTimeとJavaの組み合わせに存在するぜい弱性（Dai Zovi氏が発見）を利用したのだ。このぜい弱性によって，彼らはOS Xのコマンド・シェルにアクセスすること
Takayuki Nakamura's blog: Webアプリケーション検査前の情報収集
2007年6月5日 Webアプリケーション検査前の情報収集 『How to find your websites 』（jeremiah grossman のブログより） 検査前には、そのWebサイトについて公開されている情報を収集する。Web Security Test 系の書籍には、よく書いてある内容かな。他にも色々収集方法はあるけど、ここに書いてあるのは基礎的なこと。 1) Network Discovery whois情報、公開ポート情報 2) DNS and Zone Transfer 名前の通り。サイトが公開しているDNSから、そのドメイン上に存在するホストに関する情報を取得する。 3) Google and Netcraft site:www.example.com のようにして、そのサイトから取得されたページに関する情報を取得する。 4) The grunt work サイト
【コラム】システムの評価、できてますか? (15) セキュリティの定量評価(1) | 経営 | マイコミジャーナル
「セキュリティ」は、情報システムに関わる誰もが常に高い関心を示す話題である。だがその一方で、実際の開発・運用の現場では、納期やコストといった現実的で世知辛い都合から、なしくずし的に軽んじられることが多いのもまた事実である。システムは「動いてナンボ」のものなので、とにかく「動かすこと」が最優先されるのは致し方ない部分もあるだろう。しかし、だからといってセキュリティを軽視しすぎると、後で本当に取り返しのつかない事態を招きかねない。どんなシステムであっても完璧なセキュリティなど有り得ないが、だからこそ、どこまで守りを固めるべきか、正しいデータと正しい知見に基づいて判断されねばならいとも言えるのだ。 そこで、やはり必要になるのが、「セキュリティを定量的に評価するための指標」である。どんなデータを集めて何を基準に判断すれば、定量的な評価として説得力のある結果が導き出せるだろうか。 セキュリティの強弱
2007-02-15
妙に目が痒いし、鼻水が出てくるorz そろそろかふんちょうか? 眠いしなぁ(これはちと違うか)w ふと思いついたけど、設計での対策として、デバッグオプションをどう実装するか?というのも考えておいた方が良いかもしれない。 良くあるのが、クエリーパラメータに「debug=on」とかあるとデバッグモードにするという奴。実際、以前検査した中で幾つかあったしw こういうのはいらん情報を攻撃側に与えてしまうので、はっきり言ってよくない。かといって、開発中にはどうしてもデバッグするために、内部情報を出したいというのがある。最終的に、デバッグモードを全部削除してからリリースすればいいのだけれど、そうするとまた一からテストが必要になったり、削除漏れがあってよくないわけで･･･ じゃ、いっそのこと設計思想として、デバッグオプションを設定ファイルや、環境変数に記述してしまうとしてしまったほうが攻撃側がデバッグモ
2006年度 脆弱性定量化に向けての検討報告書 NPO日本ネットワークセキュリティ協会
2006年度 脆弱性定量化に向けての検討報告書 （脆弱性定量化に向けての検討ワーキンググループ） 報告書「経緯と目的」より抜粋 定量化という手法がビジネスの現場で使われる理由は、多くの判断を限られた 時間の中でスピーディに行えること、かつ、その判断についての説明責任として用いることができるからである。 脆弱性について定量化が求められる理由も同様である。定量的な数値として示されていれば、定性的な説明文をもとに比較・判断を行うことに比べて、短時間でそれを行うことが可能であろう。特に、セキュリティ関連の専門用語は、経営者や一般の社員には難解であり、システム管理者がその危険性を訴えたとしても、その切迫度を適切に伝えきれない場合がある。定量化というアプローチによって得られる「数値」という共通言語は、その溝を埋める方法論としても有効であるといえる。 本ＷＧ発足時の状況は、ベンダ各々が独自の判断で脆弱性
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
東京都で興信所比較@完璧な調査会社はココ【最新版】
単体テスト時のセキュリティテスト - ikepyonのだめ人間日記
False-negatives, oh how I hate thee
JASA 保証型監査概念フレームワーク - まるちゃんの情報セキュリティ気まぐれ日記
受け入れテスト用セキュリティチェックリスト for Webアプリケーション
ScanNetSecurity - SQL Serverに対応した情報漏洩監視システム「PISO Ver3.1」を出荷開始（インサイトテクノロジー）