「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
システム開発工程とセキュリティ対策
ASVS †
OWASP の ASVS
- ASVS : Application Security Verification Standard
- アプリケーションセキュリティ検証標準
実施例 †
要件定義 †
工程 †
・・・
実施 †
方式設計 †
工程 †
・・・
実施 †
- セキュリティ基本要件の決定
- セキュリティ目標
- 適用 / 準拠 基準
- セキュリティ基本要件
- セキュリティ実装要件の決定
- 識別 / 認証
- アクセス制御
- データ保護（暗号化）
- セキュリティ監視
- セキュリティ監査
- マルウェア対策
- DoS攻撃対策
- アプリケーション・セキュリティ要件の決定
- 開発環境のセキュリティ対策要件
- アプリケーション特性からのセキュリティ要件
- セキュリティ・テスト方式に関する要件
- システム・セキュリティ管理要件の決定
- ID管理
- 鍵管理
- パッチ管理
- 構成 / 設定 / 変更管理
- ログ管理
- インシデント / 問題 管理
基本・詳細設計 †
工程 †
実施 †
- システム領域
- 要件：セキュリティ実装要件、システム・セキュリティ管理要件
- ネットワーク、サーバ機器、セキュリティ製品の構成決定
- 構築手順書の整備
- プログラミング領域
- 要件：セキュリティ実装要件、アプリケーション・セキュリティ要件
- プログラム構成の決定
- 共通モジュール、モジュール間I/F仕様の決定
構築、PG、UT †
工程 †
- システム基盤構築
- プログラミング
- プログラムテスト
実施 †
- セキュア・プログラミング
- プログラム開発
- ソースコード・レビュー（ホワイト・ボックス）
テスト †
工程 †
実施 †
本番前脆弱性検査
運用・保守 †
工程 †
・・・
実施 †
稼働後脆弱性検査
セキュリティ規格・基準 †
言語毎の留意点 †
C/C++ †
BOF系 †
OSコマンド・インジェクション †
セキュリティ機構 †
- 以下を設定可能
- 署名者（signedBy）
- コードの場所（codeBase）
- 設定箇所
- システム・ポリシーファイル ({java.home} 以下)
- ユーザ・ポリシーファイル ({user.home} 以下)
- アクセス・コントローラ
- XXXXPermissionクラスをnewする。
- AccessController?.checkPermissionメソッドでチェック
レース・コンディション †
- 変数
主に、Instance変数ではない、
static変数により競合が発生する。
- RDBMSレコード
仮予約などの機構で競合し、
他人の予約を参照できてしまう。
その他 †
- 公開不要な
- メンバ変数は、Publicではなく、Privateに設定
- 不要な、setter / getterは、Interfaceに定義しない
（ユーザはClassではなくInterfaceを利用）。
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
