この脆弱性は、コーダーがビジネスロジックのルールを適切に実装しなかった場合に発生する可能性があり、悪意のあるユーザーに悪用された場合、アプリケーションがさまざまな攻撃に対して脆弱になる恐れがあります。

サイバーセキュリティ業界にとって、これほどクリスマスを台無しにする出来事はないでしょう。米国政府を標的としたサイバー諜報活動としては、史上最大規模となる壊滅的なデータ侵害が発生しました。

Equifaxのハッキングの根本原因は、今回もまたWebアプリケーションの脆弱性でした。こうした脆弱性は10年以上前から存在していますが、今日においても依然として大きな問題となっています。

脆弱性の代名詞とも言えるインジェクション攻撃が、最悪の脆弱性という座を「不適切なアクセス制御」に明け渡しました。開発者はこの変化を重く受け止める必要があります。

第139回：Matias Madouが語るセキュア開発トレーニングとソフトウェアセキュリティテストの研究

一般的に、ユーザー入力を使用してデータソースにアクセスするすべての関数には、オブジェクトレベルの認可チェックを含める必要があります。これを怠ると大きなリスクを招きます。

開発者が習得すべきモジュールを厳選したコースは非常に効果的であり、日々の業務においてセキュリティのベストプラクティスを即座に実践できるようになります。

約95,000のアプリケーションに携わる30万人近い開発者が、BSIMM8を活用してソフトウェアセキュリティイニシアチブ（SSI）の計画、実行、評価を行っています。

セキュリティ修正を開発プロセスの上流へとシフトさせることは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑であり、かつあらゆるものとネットワークでつながっている現代において、それは不可欠な取り組みです。

組織全体、そしてSDLCのあらゆる段階において、セキュリティを共通の責任として捉える体制を築く必要があります。これは、万全のサポート体制を備えた本格的なDevSecOps環境を導入することで、十分に実現可能です。

「機能レベルのアクセス制御の欠如」という脆弱性は、本来制限されるべき機能の実行や、保護されるべきリソースへのアクセスを許してしまう問題です。

認証はアプリケーションやネットワーク全体への入り口となることが多いため、攻撃者にとって格好の標的となります。認証プロセスに不備や脆弱性があると、攻撃者にその弱点を見つけられ、悪用される可能性が高まります。

調査当局によると、爆発を未然に防いだ唯一の要因は、攻撃者のコンピュータコードに含まれていたミスでした。

ソフトウェア開発はもはや孤立した作業ではありません。クラウド、家電や自動車の組み込みシステム、重要インフラ、そしてそれらすべてをつなぐAPIに至るまで、ソフトウェアがもたらすあらゆるリスクを考慮すると、攻撃対象領域は境界を失い、制御不能な状態にあります。

開発者にとって、AppSec（アプリケーションセキュリティ）への転身は、高収入を得る絶好のチャンスです。

ここ数年でサイバーセキュリティの基準が劇的に変化したことは間違いありません。必須ではないにせよ、すべての組織がこれに倣い、ベンダーのセキュリティ対策を自社の内部セキュリティプログラムの一部であるかのように厳しく精査することを目標とすべきです。

マスアサインメント脆弱性は、多くのモダンなフレームワークが、クライアントからの入力をコード変数や内部オブジェクトに自動的にバインドする機能を開発者に推奨したことで生まれました。

私たちは、必要な時にトレーニングを受ける際の障壁をいかにして減らすか、そしてマイクロラーニングをどのようにワークフローへよりシームレスに組み込めるかについて考え始めました。

開発者が脆弱性を効果的に削減するには、脆弱性の仕組み、危険性、発生原因となるパターン、そしてそれらを修正するための設計やコーディングのパターンを、自身の業務に即した文脈で根本から理解する必要があります。段階的なアプローチを取り入れることで、知識を積み重ね、セキュアなコーディング、コードベースの保護、そしてセキュリティ意識の高い開発者として自立するために必要な全体像を把握できるようになります。

ゼロデイ攻撃とは、定義上、開発者が悪用され得る既存の脆弱性を発見して修正する時間を一切与えない攻撃です。脅威アクターが先手を打つためです。被害が発生した後に、ソフトウェアの修正とビジネス上の評判の回復という、大混乱の中での対応を強いられることになります。攻撃者は常に優位な立場にあり、その差を可能な限り縮めることが極めて重要です。

組織におけるPCI-DSSコンプライアンスの成功をテーマにした2部構成シリーズの第1部です。本章では、AppSec（アプリケーションセキュリティ）スペシャリストが開発マネージャーと緊密に連携し、開発者を支援し、SSDLC（セキュアなソフトウェア開発ライフサイクル）を強化し、一般的な法規制から具体的な成果を得る方法を詳しく解説します。

日々の業務が多忙を極める中、わざわざ教室まで足を運んだり、作業を中断して5段階もの手順を踏まなければアクセスできないような座学中心のトレーニングを受ける動機が、開発者にどこにあるのでしょうか。

AppSecツールが期待通りに活用されていないのにはいくつかの理由があります。それはツールやその機能の問題というよりも、セキュリティプログラム全体にツールがどのように統合されているかという点に起因しています。

当社のエキスパートの一人、オスカー・キンタスをご紹介します。プロダクトコンテンツチームでシニアセキュリティリサーチャーを務める彼は、Infrastructure as Code（IaC）に関するあらゆる事柄を熟知した、まさにこの分野の魔術師です。

SQLインジェクションが誕生して22年。成人してもおかしくない年齢になってもなお、私たちはこの脆弱性を根絶するどころか、いまだに振り回されています。

サイバーセキュリティの世界において、攻撃者と防御側の力関係は極めて不公平です。機密データは新たな金脈となり、攻撃者は防御をすり抜けるために素早く適応し、大小さまざまなセキュリティの脆弱性を突いて利益を得ようとしています。

この脆弱性は、短時間に過剰なリクエストが集中し、APIがそれを処理するための十分なコンピューティングリソースを確保できない場合に発生します。その結果、APIが利用不能になったり、新しいリクエストに応答できなくなったりします。

サイバー犯罪者との戦いにおいて、私たちは彼らの一歩先を行き、予防的な考え方で彼らの活動の場を先回りする必要があります。来年、彼らがどのような動きを見せるか、私の予測をまとめました。

インフラレベルのアクセス制御が適切に整備されていないと、企業全体が攻撃者にさらされることになります。攻撃者はその脆弱性を足がかりに、不正な情報の覗き見や本格的な攻撃を仕掛けてくる可能性があります。

サイバー攻撃は頻度を増す一方であり、Linuxベースのインフラを標的とした脅威も一般的になっています。その最終的な目的は、クラウド上に保存された機密データの宝庫をこじ開けることにあります。

この脆弱性の背後にあるメカニズム自体は他のものと似ていますが、過剰なデータ露出の場合、法的に保護されたデータや極めて機密性の高いデータが関与している点が特徴です。

WebベースのソフトウェアやAPI、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者に発見されれば悪用される可能性があります。

組織におけるPCI-DSSコンプライアンスに関するミニシリーズの第2部です。最終回となる今回は、CTOやCISOがリーダーシップを発揮し、サイバーリスクを低減させながら、プロセスを円滑かつ成功に導く方法、そして開発者にとって少しでも楽しいものにする方法について詳しく解説します。

ご自身の組織を念頭に置き、ご自身の役割という文脈でこれらの問いを考えてみてください。DevSecのテストに直面したとき、組織はどのように対応できるでしょうか。

ゴキブリは核爆発さえ生き延びるという、有名な説があります。

「不十分なログ記録と監視」という欠陥は、認証の失敗、アクセス拒否、入力バリデーションエラーのすべてを記録するというサイバーセキュリティ計画が不十分であるために発生します。

今日、パスワードや個人情報、財務記録といった重要なデータを保存時にハッシュ化することは、あらゆるサイバーセキュリティ対策の要となっています。

バイデン政権による最近のサイバーセキュリティ大統領令は、セキュリティ業界で大きな話題となっています。特に、日々の業務においてセキュアコーディングのベストプラクティスを実践することの重要性を開発者に理解してもらおうと取り組んでいる人々にとって、その関心はひとしおです。

サイバーセキュリティのベストプラクティスにおいて、人間主導のアプローチを強化する必要があります。自動化やツールへの過度な依存、そしてすでに組み込まれ発見された問題への事後対応に頼るよりも、その方が優れた結果をもたらすでしょう。

開発者は、セキュリティ設定やアクセス制御に加え、コードに最も深く関わる立場にあります。彼らのセキュリティスキルを育成することは不可欠であり、NISTが定める高い基準を達成するためには、特に大規模な開発チームにおいて、実践的なコース構成が効率的な解決策となるでしょう。

Secure Code Warriorプラットフォームに、待望の新機能「Missions（ミッション）」が登場しました。この全く新しいチャレンジカテゴリーは、開発者向けセキュリティトレーニングの次なるフェーズです。ユーザーはセキュリティ知識を思い出す段階から、現実のシミュレーション環境でそれを応用する段階へとステップアップします。

新しい働き方への不安や、わずかな不信感、あるいはリモートワークそのものへの懐疑心など、理由はさまざまでしょう。しかし、リモートワークに抵抗を示す企業は、優秀な人材の確保やグローバルな展開、そして率直に言って、時代の変化についていくという点で後れを取る傾向にあると私は感じています。

今日のコンピュータセキュリティの要は、パスワードです。二要素認証や生体認証といった他のセキュリティ手法が導入されている場合でも、多くの組織では依然としてパスワードベースのセキュリティを保護手段の一つとして採用しています。

航空電子機器のコードを1行変更するには100万ドルの費用と1年の期間を要します。ボーイング737型機で運航するサウスウエスト航空にとって、それは「破産」を意味するでしょう。

複雑なセキュリティツールが氾濫し、CISOにとってサイバーセキュリティはかつてないほど困難なものとなっています。

Secure Code Warriorは、GitHubコードスキャンにコンテキストに応じた学習機能をもたらすGitHub Actionを開発しました。これにより、開発者はSnyk Container Actionのようなサードパーティ製アクションを使用して脆弱性を発見し、その結果にCWE固有の極めて関連性の高い学習コンテンツを付加できるようになります。

ペネトレーションテストや静的解析スキャンツール（SAST）は、セキュリティリスクを軽減するためのプロセスの一部に過ぎません。これらは私たちの業務とは独立して行われるものですが、もちろん、修正のためにコードが差し戻されてくると話は別です。

ある程度の品質を備えたコードは、定義上セキュアであると言えます。しかし、セキュアなコードが必ずしも高品質であるとは限りません。「左のさらに左」から始めることは、純粋なセキュアコーディングの基準を確保するための公式となるのでしょうか。

今回焦点を当てる脆弱性を招く行為は、信頼できないソースからのコードの使用です。一見無害に見えるこの慣行が、大きな問題を引き起こしています。

2016年、x0rzと名乗るセキュリティ研究者のツイートによると、Equifaxのメインサイトでクロスサイトスクリプティング（XSS）という一般的な脆弱性が発見されました。

この脆弱性は、技術的な欠陥というよりも、古いAPIが新しい安全なバージョンに置き換えられるべき時期を過ぎても放置されてしまうという、人的または管理上の問題に起因します。

サイバーセキュリティへの取り組みで成果を上げている多くの企業は、公式な「セキュリティチャンピオン」プログラムを導入しています。この役割には、チーム間の連携や士気の向上から、ベストプラクティスの監督に至るまで、重要なセキュリティ責任が伴い、適性と情熱を持った人材が任命されます。

Rustは、広く使われている言語の機能的要素を取り入れつつ、複雑さを排除し、パフォーマンスと安全性を両立させるという独自の哲学に基づいています。

APIにおいて特に顕著ですが、攻撃者はネットワーク上のあらゆる場所で、修正されていない脆弱性や保護されていないファイル、ディレクトリを探し出そうとします。デバッグが有効になっていたり、セキュリティ機能が無効化されていたりするAPIは、攻撃者にとって格好の標的となります。

ウォーターフォール、アジャイル、そしてDevOpsと進化してきた開発手法ですが、次なる解決策は何でしょうか？また、開発者として、こうしたアプローチの変化にどう対応していくべきでしょうか。

業界として、開発者にセキュリティの専門家になることを期待すべきではありません。しかし、組織が開発者支援の新しい基準を採用することで、より高品質なソフトウェアを生み出せるようになります。

アプリケーションは、全体的なワークロードの一環として他のプログラムとデータを共有することがあります。トランスポート層が保護されていない場合、外部からの盗聴や、権限のない内部ユーザーによる閲覧に対して脆弱になります。

あらゆる組織が「サイバーセキュリティ意識向上月間」を活用してセキュリティへの意識を新たにする中、今年はコーディングコミュニティ向けに新しい無料アプリをリリースします！

不信という不安定な基盤の上に築かれた関係には、過度な期待を抱かないのが賢明です。悲しいことに、組織内の開発者とAppSec（アプリケーションセキュリティ）チームとの協力関係は、まさにこのような状態に陥りがちです。

セキュリティ設定ミス、特に不適切な権限設定は、開発者が新しいユーザーを作成したり、タスクを実行するためのツールとしてアプリケーションに権限を付与したりする際に最も頻繁に発生します。

攻撃者は常に、悪用しやすい脆弱性を真っ先に探そうとします。スクリプトを使って一般的な弱点を次々とチェックすることさえあります。これは、泥棒が通りに並んだ車を片っ端から確認し、鍵が開いている車を探すようなものです。窓を割るよりもはるかに簡単だからです。

世界中でソフトウェア需要を満たすために膨大なコードが書かれる一方で、慢性的なスキル不足が続いており、多くの企業がサイバーセキュリティ戦略や既存のインフラ整備で後れを取っています。今こそ、自社のサイバーセキュリティ成熟度を客観的に見つめ直し、目の前にある実現可能な改善策を評価すべき時です。

CISOは今、かつてないほど困難な状況に直面しています。より多くの資産を保護し、より多くのコードをリリースし、拡大する攻撃対象領域を縮小しながら、急速に減少する予算の中でそれらを実現しなければならないのです。サイバーセキュリティがコストセンターと見なされているのは紛れもない事実です。組織のセキュリティプログラムこそが、企業を明日の悲劇的なニュースの主役にさせないための防波堤であるにもかかわらず、セキュリティリーダーは経営陣が理解できる言葉で、部門の全体的なビジネス価値を売り込み、証明しなければなりません。

当社の最新調査レポート『Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise（セキュリティスキルのベンチマーク：企業におけるSecure-by-Designの効率化）』は、企業レベルでの「Secure-by-Design（設計段階からのセキュリティ）」の取り組みを詳細に分析し、データに基づいたベストプラクティスを導き出したものです。

セキュアコーディングと「Secure-by-Design」の原則への注目が高まる中、SDLC（ソフトウェア開発ライフサイクル）の初期段階から開発者にサイバーセキュリティ教育を行うことが求められています。Secure Code Warriorの「Trust Score」は、その習熟度を測定し、改善を支援するツールです。

当社の調査により、セキュアコーディングのトレーニングが有効であることが実証されました。600以上の組織、25万人以上の学習者による2,000万件以上の学習データポイントに基づくアルゴリズムを活用した「Trust Score」は、脆弱性の削減におけるトレーニングの有効性と、その取り組みをさらに効果的にする方法を明らかにします。

「Secure-by-Design（設計段階からのセキュリティ）」の取り組みが成功しているかどうかを判断する有益なデータを見つけることは、非常に困難です。CISOは、人的レベルおよび企業レベルの両面において、セキュリティプログラムの投資対効果（ROI）やビジネス価値を証明する際に苦慮することが少なくありません。さらに、自社が現在の業界標準と比較してどのような位置にあるのかを把握することも、企業にとって極めて困難な課題となっています。米国大統領の国家サイバーセキュリティ戦略は、関係者に対し「設計段階からのセキュリティとレジリエンスの採用」を求めました。Secure-by-Designを成功させる鍵は、開発者にセキュアなコードを書くスキルを習得させるだけでなく、そのスキルが確実に備わっていることを規制当局に証明することにあります。本プレゼンテーションでは、25万人の開発者から収集した内部データ、データ主導の顧客インサイト、公開調査など、複数の一次情報源から得られた膨大な定性的・定量的データを共有します。これらのデータを活用し、さまざまな業種におけるSecure-by-Designの現状を明らかにします。本レポートでは、この分野が現在十分に活用されていない理由、スキル向上プログラムがサイバーセキュリティリスクの軽減に与える大きな影響、そしてコードベースから特定の脆弱性を排除できる可能性について詳しく解説します。

AIをめぐる議論の本質は「利用の是非」ではなく「適用のあり方」にあります。AIによる生産性向上と強固なセキュリティを両立させるには、自身のコードを深く理解する開発者の存在が不可欠です。その実現方法を解説します。

AnthropicのClaude Mythosは、すべてのセキュリティリーダーがセキュリティプログラム、特にレガシーシステムのパッチ管理に取り組む姿勢を根本的かつ永続的に変えるものです。

本ホワイトペーパーでは、セキュリティ専門家でありSecure Code WarriorのCTO兼共同創設者であるマティアス・マドゥ博士が、開発チームの効果的なセキュリティ教育と支援を実現するための6つの柱について解説します。また、エンタープライズレベルでセキュリティプログラムを導入した10名の経営幹部から得られた教訓や、成功への道のりで避けるべき一般的な落とし穴についても紹介します。