2022年7月に「アジャイル開発におけるセキュリティ | パターン・ランゲージ」が公開されました。 こちらのドキュメントは、「アジャイル開発においてセキュリティをどのように担保するか」をパターン・ランゲージを使って解説されたものになっており、DevSecOpsに取り組むためにとても参考になります。 今回はDevSecOpsを成功させるためのポイント共に「アジャイル開発におけるセキュリティ | パターン・ランゲージ」の内容を紹介し、具体的にどのようなことを検討し、取り組み必要があるのかを私の経験を踏まえて解説したいと思います。 「アジャイル開発におけるセキュリティ | パターン・ランゲージ」とは？「アジャイル開発におけるセキュリティ | パターン・ランゲージ」は、「脆弱性診断士スキルマッププロジェクトが作成した『アジャイル開発においてセキュリティをどのように担保するか』のヒントを過去の成功事

node-tarで発見された任意のファイルの書き込み・上書きの脆弱性(CVE-2021-32804)について調査を行いました。 node-tar 3.2.2, 4.4.14, 5.0.6, 6.1.1以前のバージョンを利用している場合、この脆弱性の影響を受けることがあります。 加えて、node-tarを間接的に利用している場合にも影響を受けることがあります。具体的には、npmもtarファイルを扱う処理にnode-tarを使っているため、脆弱なバージョンのnpmを使って、信頼できないtarファイルを処理することで影響を受ける場合があります。 今回は、CVE-2021-32804の修正コミットを確認してどのような脆弱性だったのか確認し、実際に脆弱性が再現できるのかDockerで環境を用意して検証を行いました。 また、npmにも影響があるかの検証も行い、こちらもDockerの環境にて確認を行いま

ソフトウェアを開発されている方は、オープンソース・ソフトウェア（OSS）を利用して開発することが多いと思います。 OSS の導入時には最新のバージョンのものを利用するため脆弱性が含まれていなかったとしても、時間が経つにつれ脆弱性が新たに公開され、セキュリティリスクが高まることがあります。 自分たちが使っている全てのライブラリとそのバージョンを常に把握して、新たに公開された脆弱性がないかどうかを人手で監視することは非常に労力のかかる作業でしょう。 開発チームの規模が大きく、複数のプロジェクトを管理する場合にはより多くの工数がかかることが予想されます。 脆弱性管理ツール「yamory」 では、これらの作業を自動化し、自分たちに影響がある脆弱性情報だけを通知することができます。 また、脆弱性の対応優先度を自動で分類し、脆弱性への対策を提示することもできるので調査工数を削減することもできます。 本

本記事では、実際のコードを交えて Java における安全ではないデシリアライゼーションの解説を行い、この脆弱性を見つけた場合にどのように扱えばよいのか、どのような対策を行えばよいのかを解説します。

HTTP リクエストスマグリング（Http Request Smuggling, HRS）は、フロントエンドの Web サーバー（リバースプロキシー、ロードバランサーなど）とバックエンドの Web サーバーで、 HTTP リクエストに対し異なる解釈をしてしまうことで発生する脆弱性です。 この脆弱性が悪用されると、攻撃者によって作成されたリクエストを別のユーザーのリクエストに追加し、フィッシング、クロスサイトスクリプティング（XSS）、キャッシュ汚染、セキュリティ制御のバイパスなどの影響を受ける可能性があります。 本記事では HTTP リクエストスマグリングについての概要から対策方法についての解説と、実際に公開されているライブラリの脆弱性について少し掘り下げて解説します。 HTTP リクエストスマグリングの概要 HTTP リクエストスマグリングが発生する仕組み HTTP リクエストスマグリン

リバースブルートフォース攻撃（逆総当たり攻撃、リバースブルートフォースアタック）とは、不正ログインを目的とする攻撃手法で、パスワードなどを固定して、ID 部分を変えながら総当たり的にログイン認証を繰り返していく攻撃です。 「ブルートフォース攻撃（総当たり攻撃）」という攻撃も存在していますが、リバースブルートフォース攻撃はその逆に当たる手法（パスワード部分ではなく ID などの部分の変更）を用いた攻撃になります。 総当たり攻撃の対策として、パスワードを一定回数間違えた場合に、対象アカウントをロックする手法が一般的には知られています。そうすることで「一定回数までしか攻撃者はログインを試せないため安全」という前提が作れるためです。 しかしリバースブルートフォース攻撃では、パスワードではなくユーザー ID 側を変更しながら攻撃を行うため、特定アカウントへの大量の認証施行は行われず、アカウントロック

2020 年も半ばを過ぎましたがみなさまいかがお過ごしでしょうか。 yamory は 2019 年 8 月 27 日にサービスをリリースし、まもなく 1 年が経とうとしています。 この 1 年を振り返ると、Go 言語のサポートやIPA のセキュリティ製品の有効性検証の試行において対象製品に選ばれたり、オートトリアージ機能の特許取得、イエラエセキュリティ様との業務提携など多くの取り組みを行なってきました。 最近では、Jira Cloud 連携やライブラリの依存関係のツリー形式での表示、シングルサインオン（SSO）連携機能もリリースしました。 機能拡充と並行し、私が所属するセキュリティチームでは、日々新たに発見されるさまざまな言語のフレームワークやライブラリの脆弱性の調査・分析に力を入れております。 今回は 2020 年脆弱性管理レポートと題して、yamory 利用者様からのアンケート結果を交

SSRF （Server Side Request Forgery : サーバーサイド・リクエスト・フォージェリ）は、外部から到達できない領域にあるサーバーなどに対して、バグを悪用することでリクエストを送る攻撃手法・脆弱性です。 この一言だけではリスクの大きさや、この問題がなぜ発生するのかが想像しづらいと思います。そこで本記事では、SSRF が起きる原因を解説したあと、脆弱性の影響について攻撃シナリオをベースに説明していきます。 最後にそれらを踏まえた上で、どのようにして SSRF が発生しないコードを記載するか、またコードレビューの中で問題を見つけるのか等、対策についても触れていきます。 扱うリスクシナリオとしては「内部 API を悪用した侵入」および「クラウドベンダーが用意する管理用 API を悪用したクレデンシャルの奪取」となります。 SSRF の概要冒頭で SSRF とは「外部から

こんにちは、Dependency Hell Survivor のけんです。 ビジネスにスピードが求められる昨今、開発を効率化するために、適切なライブラリを導入して開発に臨まれる方は多いのではないでしょうか？ しかしながら、ライブラリを導入するということは、そのライブラリが依存する他のライブラリ、さらにはそれらの脆弱性までも引き込んでしまう可能性があります。 今回は、便利だけれども時に厄介なライブラリと、その依存関係（Dependency）における脆弱性について Gradle を使って例をあげながらお話いたします。 ライブラリの追加に何か問題でも？あるとき、JSON で通信をする要件が出てきたとします。 HTTP 通信をしつつ、JSON 形式でデータをやり取りできるライブラリが欲しいので、Kotlin で人気の Fuel を導入しましょう。 データフォーマットは JSON なので、合わせて 

パッチ管理 とは、システム上にバグや脆弱性の穴が見つかった際に作成される修正用ファイル「パッチ」の適用状況を管理し、デバイスを最新状態に保つプロセスのことを指します。 パッチマネジメントと呼ばれることもあります。 本記事ではパッチ管理の概要から、パッチ管理のプロセス、管理を行う上でのメリット・デメリットについて解説していきます。 パッチ管理とはシステム上にバグや脆弱性の穴が見つかった際に、穴を塞ぐための修正用ファイルが作られることがあります。 これを「パッチ」と呼び、このパッチの適用状況を管理をすることが「パッチ管理」になります。 「パッチ」とは元々裁縫用語からきており、服に穴ができた際、穴を塞ぐために使う当て布や端切れのことを指します。 穴を塞ぐことから転じて、IT 用語としても定着した経緯があります。 一般的に、大掛かりな修正や改善はバージョンアップとして対応されるケースがほとんどです

OS コマンドインジェクション（OS Command Injection） は、オペレーティングシステムのコマンドを不正に実行できてしまう脆弱性および攻撃手法です。 コマンド注入攻撃、コマンドインジェクションとも呼ばれます。 Web アプリケーションのコードに OS コマンドの呼び出し処理があり、ユーザーが入力したデータがコマンドの一部分を構成している場合に発生します。 本記事では、OS コマンドインジェクション（以下、コマンドインジェクション）の概要と攻撃による影響、対策について解説していきます。 コマンドインジェクションとはなにかコマンドインジェクションは、攻撃者が Web アプリケーションを通して、Web サーバが動作する OS でコマンドを実行できてしまう脆弱性です。 コマンドインジェクションが起きるまでの流れ 攻撃者は、Cookie やフォームのデータ、URL のクエリパラメータ

Java は業務システムをはじめ、Web アプリケーション、Android アプリの開発等で世界中で幅広く使われている言語です。 プラットフォームに依存しない環境と堅牢さ、ライブラリの多さ、需要の多さから、大規模システム、エンタープライズ向けアプリケーションの開発でも多く採用されています。 実際に業務において Java を用いて開発・運用しているプロジェクトも多いのではないでしょうか。 一方で、稼働しているアプリケーションをセキュアな状態に維持するためにも、Java に関わる脆弱性を把握することは非常に重要です。 今回は Java ベースの Web アプリケーション開発に焦点を当て、新しく出てくる脆弱性とその対策方法について開発者寄りの視点で解説します。 Java で構築された Web アプリにおける脆弱性が潜む場所Java で構築された Web アプリケーションにおいて、脆弱性が潜む場所

ASVS には何が書かれているのかASVS は、合計 14 の章で構成されています。 今回の記事では、各章に関する詳細な説明を割愛しますが、大まかな各章の概要を紹介します。 多くの章があり、かなり網羅的なガイドラインであることを感じていただけるかと思います。 ASVS の全体イメージ V1: アーキテクチャ、設計、脅威モデリングに関する要件 (Architecture, Design and Threat Modeling Requirements)開発プロセスに入る前にセキュリティ観点での計画を促すことを目的に「全体のアーキテクチャに関わること」「管理体制」が言及されています。 セキュアなアプリケーションを開発する上での骨子を作成するための章とも言えます。 この章のみ Level2 以上を対象としていますが、開発方針で意識した方が良いことなどが定義されており、非常に参考になる情報が多いで

背徳感は幸せ中枢を刺激する 人はなぜ、「背徳的な行為」に快楽を感じるのでしょう。 平日の昼間から飲むビール、真夜中に食べるラーメン、そして……濃厚な味わいの肝（きも）。 「これ以上食べたら……でも美味しい！」 そんなドキドキと背徳感が「幸せ中枢」をより刺激してくるようです。 今回は、そんな背徳感をMAXに高めてくれる「肝たっぷりあんこう鍋 〜濃厚三昧〜」という衝撃の逸品を見つけてしまったので、その食レポをお届けします。 ちなみに、見た目だけでも衝撃なのに、まさかの価格で食べる前からさらに衝撃。他のお店でいただいたら、おそらくその倍はかかるのではないでしょうか。 なぜこの価格であんこう鍋を提供できるのか。その秘密を含めお店に取材させていただきました。 四十八漁場の名物「肝たっぷり あんこう鍋」 ▲日本酒の樽が並び、のんべえにはたまらない雰囲気 お邪魔したのは溜池山王駅直結のビル地下1階。都内

こんにちは。スタンバイ事業部のScalaエンジニア、田所です。 社内ではエモジニアと呼ばれています。 Scala Daysというイベントをご存知でしょうか？ Scala Daysは世界最大のScalaカンファレンスで、2017年で7回目の開催になります。Scalaの作者や著名なScala製 OSSの開発者、Twitter社を始めとしたScala採用企業のエンジニアなど、大変豪華な面々が登壇します。今年はシカゴとコペンハーゲンの2箇所でそれぞれ開催されました。 Scala Days Chicago Scala Days Copenhagen 今回は、5月30日から6月2日にかけて開催された「Scala Days Copenhagen」に同期のエンジニアと2人で参加してきたので、特に印象的だったセッションを、前編・後編に分けてお伝えしようと思います。 What's different in D

思い浮かんだスタートアップ、ベンチャーの設立タイミングを無造作に調べてみました。ほんとは「100社！」みたいにするのが良いと思うのですが、疲れたので79社というとても中途半端な数です。 僕は76世代ですが、そういう世代間の意識もあるとは思いますが、起業すれば誰も同じく「社長」であり、年齢なんて全く関係無くなります。同じタイミングで起業した人にライバル心が沸きますし、共感も沸くんじゃないかなぁと。