ハニーポッターの部屋 このページをアンテナに追加 RSSフィード Twitter

QLOOKアクセス解析

2015-07-09 初心者Webアプリケーション開発者がチェックすべき情報源2015 このエントリーを含むブックマーク このエントリーのブックマークコメント

毎年恒例の「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。

去年に引き続き、最低限のものに絞ってみた。

上から重要な順。★の付いている「重点」がとりあえず読んどけ、の必須。

必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているものを選択。

書籍としては、徳丸本「体系的に学ぶ 安全なWebアプリケーションの作り方」、「めんどうくさいWebセキュリティ」と「実践 Fiddler」を掲載したけど,他に良い本があれば情報プリーズ。

この情報もあったほうが良いんじゃね?という情報も大歓迎。

■重点
★Webサイト構築
安全なウェブサイトの作り方
http://www.ipa.go.jp/security/vuln/websecurity.html 
安定の第7版2刷。Web開発の委託先仕様書の代わりにも使える。
セキュリティ実装 チェックリスト(Excel形式、18K)Excel
安全なSQLの呼び出し方(全40ページ、714KB) 
ウェブ健康診断仕様(全30ページ、784KB) 

★発注仕様
OWASP Web システム/Web アプリケーションセキュリティ要件書
https://www.owasp.org/index.php/File:Web_application_security_requirements.pdf
ただし、また上野宣。更新マダー。

★書籍
体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践
http://www.amazon.co.jp/dp/4797361190/
徳丸 浩 (著) ,価格:¥3,360
電子書籍版は安いし、持ち運べるし、良いと思います。

めんどうくさいWebセキュリティ
http://www.amazon.co.jp/dp/4798128090/
Michal Zalewski (著), 上野 宣 (監修), 新丈 径 (翻訳) 価格:¥ 3,129 

実践 Fiddler
http://www.amazon.co.jp/%E5%AE%9F%E8%B7%B5-Fiddler-Eric-Lawrence/dp/4873116163
Eric Lawrence (著), 日本マイクロソフト株式会社 エバンジェリスト 物江 修 (監訳) (翻訳), 長尾 高弘 (翻訳)
価格:¥ 3,456
とりあえず買っといて損はない。

★脆弱性
OWASP Top 10 2013 (日本語)
https://www.owasp.org/images/7/79/OWASP_Top_10_2013_JPN.pdf
Webアプリケーションを作る前に知るべき10の脆弱性


■セキュアWebアプリケーション開発
★IPA セキュア・プログラミング講座
http://www.ipa.go.jp/security/awareness/vendor/programming/index.html 
歴代プログラミング講座と、セミナー資料へのリンク集もあるから、Web開発のセキュリティプログラミングのポータルてして学んでいくとよい。
ただ、IPAさん的には「安全なウェブサイトの作り方」のほうが主力っぽいね。
関連
『セキュア・プログラミング講座(Webアプリケーション編)』ブートアップセミナー資料
http://www.ipa.go.jp/files/000030878.pdf
『セキュア・プログラミング講座(Webアプリケーション編)』マッシュアップセミナー資料
http://www.ipa.go.jp/files/000035950.pdf

★JPCERT:セキュアコーディング
http://www.jpcert.or.jp/securecoding.html
コンテンツてんこ盛り。以下、引用。
セミナー
Android セキュアコーディングセミナー資料(英語版)
Java セキュアコーディングセミナー資料
C/C++ セキュアコーディングセミナー資料
セキュアコーディングスタンダード
CERT C セキュアコーディングスタンダード
Java セキュアコーディングスタンダード CERT/Oracle 版
書籍
C/C++ セキュアコーディング
C/C++ セキュアコーディング 第2版
CERT Cセキュアコーディングスタンダード
Java セキュアコーディングスタンダード CERT/Oracle版
セキュアなソフトウエア開発を支援する資料
Java アプリケーション脆弱性事例解説資料
「Java セキュアコーディング 並行処理編」
OWASP「ソフトウエアセキュリティ保証成熟度モデル」
翔泳社 Codezine 連載集
「動けばいいってもんじゃない」 脆弱性を作り込まないコーディング(全6回)
実例で学ぶ脆弱性対策コーディング(全9回)

HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
https://www.jpcert.or.jp/research/html5.html
英語版も公開されている

OWASP 蛇とはしご 日本語訳
https://www.owasp.org/index.php/OWASP_Snakes_and_Ladders
ボードゲームを通してOWASP Top 10, OWASP Proactive Controls の価値を啓発するもの。モバイルアプリの開発に役立つ版もある。

「HTML5時代の「新しいセキュリティ・エチケット」」最新記事一覧
http://www.itmedia.co.jp/keywords/html5_sec.html
現在、4記事
・重要! まずは「オリジン」を理解しよう
・単純ではない、最新「クロスサイトスクリプティング」事情
・知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法
・これなら合格! 正しいリダイレクターの作り方

“誤認逮捕”を防ぐWebセキュリティ強化術
http://itpro.nikkeibp.co.jp/article/COLUMN/20130218/456762/
遠隔操作ウイルス事案事例対策
[1]なりすましの攻撃手法 
[2]CSRFとクロスサイトスクリプティング 
[3]HTTPヘッダーインジェクションとクリックジャッキング 
[4]DNSリバインディング 
[5]暗号化の“皮”を重ねて匿名性を確保する「Tor」 

Webアプリケーションにセキュリティホールを作らないための
クロスサイトスクリプティング対策の基本
〜クロスサイトスクリプティング脆弱性とは?〜 
http://www.atmarkit.co.jp/fsecurity/special/30xss/xss01.html 
http://www.atmarkit.co.jp/fsecurity/special/31xss/xss01.html 
http://www.atmarkit.co.jp/fsecurity/special/34xss/xss01.html 

Webアプリケーションに潜むセキュリティホール 
http://www.atmarkit.co.jp/ait/kw/webapp_hisomu_securityhall.html
もう、だいぶ古いんだけどね。
第1回 サーバのファイルが丸見え?! 
第2回 顧客データがすべて盗まれる?! 
第3回 気を付けたい貧弱なセッション管理 
第4回 エラーメッセージの危険性 
第5回 Webアプリケーションの検査テクニック 
第6回 Webサイトのセッションまわりを調べる方法 
第7回 攻撃されないためのセッション管理の検査方法 
第8回 Webサイトの問い合わせ画面に含まれる脆弱性 
第9回 オンラインショッピングにおける脆弱性の注意点 
第10回 安全なWebアプリケーション開発のススメ 
第11回 Webアプリケーションファイアウォールによる防御 
第12回 mod_securityのXSS対策ルールを作成する 
第13回 OSコマンドインジェクションを防ぐルールを作成する 
最終回 Webアプリケーションの脆弱性を総括する 

Webアプリにおける11の脆弱性の常識と対策
http://www.atmarkit.co.jp/ait/articles/0909/01/news158.html

クロスサイトスクリプティング対策の基本
http://www.atmarkit.co.jp/ait/articles/0211/09/news002.html
クロスサイトスクリプティング対策の基本(前編)
クロスサイトスクリプティング対策の基本(中編)
クロスサイトスクリプティング対策の基本(後編)
ちょっと古いけど、安心の国分さんの記事なので掲載。

■スマートフォンセキュリティ
Javaセキュアコーディング入門
http://codezine.jp/article/corner/437
Androidアプリの配布パッケージapkの解析について
Javaの参照型変数とセキュリティ
スマートフォンアプリへのブラウザ機能の実装に潜む危険 ――WebViewクラスの問題について
AndroidアプリにおけるDBファイルの正しい使い方
ハッシュテーブルに対する攻撃手法のはなし
整数オーバーフロー検出の3つのアプローチ ――mezzofantiのバグ修正
ContentProviderのアクセス範囲 ――Dropboxにおける脆弱性の修正
Androidアプリ開発者なら押さえておきたい Javaセキュアコーディングの意味と効果

イチから始める! Androidセキュリティ 連載インデックス
http://www.atmarkit.co.jp/fsecurity/index/index_androbasic.html
スマートフォンで「できちゃうこと」って?
知ってるつもりで知らない端末のほんとの挙動
デバッグ情報にご用心!
要注意! 本当は怖い出力データ
見せたくないなら「持たせない」が鉄則!

『Androidアプリのセキュア設計・セキュアコーディングガイド』【2014年7月1日版】
http://www.jssec.org/report/securecoding.html

Android Security - 安全なアプリケーションを作成するために
http://www.taosoftware.co.jp/android/android_security/

OWASP モバイルセキュリティプロジェクト - トップ10モバイルコントロール
https://docs.google.com/document/d/1QOWOrsAo-33bHLdAZksKa4F_8_A_6XndoDF6ri4na_k/edit
http://www.slideshare.net/uenosen/web-2010-3241609 

Apple セキュアコーディングガイド
https://developer.apple.com/jp/documentation/SecureCodingGuide.pdf