マイクロソフト、開発者向けのセキュリティセミナーを開催

記事検索

最新ニュース

■

レゴ、小学生向けプログラミング教材「WeDo 2.0」発売

■

マクロウイルスを知らない世代の社員が狙われる？　「Office文書を開いて感染」攻撃が再び増加

■

新gTLD「.shop」、49億円でGMOが落札、AmazonやGoogleなどに競り勝つ

■

Windows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を

■

インストール不要の非常駐型セキュリティソフト「Dr.Web CureIt!」、日本語版を無料で提供

■

筆まめ、中小事業者向け顧客管理ソフト「筆まめ顧客管理 Windows版」発売

■

大日本印刷が「サイバーナレッジアカデミー」設立、IAIの訓練システムでセキュリティ技術者を養成

■

「インターネット白書2016」発売、20周年記念の特別版

■

NEC、中小規模事業者向けセキュリティアプライアンス「Aterm SA3500G」を発売

■

Synology、2ベイNASのハイエンドモデル「DS216+」、暗号化データも上下100MB／秒以上で高速転送

■

公安9課が情報流出の危険性を解き明かす、「攻殻機動隊 S.A.C.」の描き下ろしPDFコミック「HUMAN-ERROR TRAPS」無償公開

■

Google Playに「マンガストア」オープン、ジャンプコミックスも配信開始

■

BIGLOBE、電力とインターネットのセットプラン、中部電力の首都圏エリア展開に合わせ

■

ウェブブラウザーのプライベートブラウジング機能、認知していた人は23.1％

■

LINE、違う電話番号のスマホから一方的にアカウント移管操作を行えないよう仕様変更

■

LINEのiPhone版アプリがiPadにも対応、「LINE for iPad」より多機能、大画面で音声・ビデオ通話が可能に

■

Microsoft、Officeと他社クラウドストレージとの連携を強化

■

Googleのディープラーニングシステムによって、人工知能が初めて囲碁のプロ棋士に勝利

■

ソラコム、IoTプラットフォーム「SORACOM」と既存システムを専用線でつなぐサービスや認証機能など提供開始

■

Google「Chrome 48」iOS版ではクラッシュ率70％低下、JavaScript実行速度も大幅改善

マイクロソフト、開発者向けのセキュリティセミナーを開催

開発部門必読書の著者、デビット・レブラン氏らが登壇

　マイクロソフトは2日、安全なアプリケーション開発を推進する「開発者セキュリティ」施策の一環として、セミナー「Developer Security Day」を開催した。セミナー開催前にはプレスラウンドテーブルが行なわれ、セミナーの概要が説明された。

　ラウンドテーブルには、マイクロソフト開発部門の必読書となっているという「Writing Secure Code」の著者である、Microsoftセキュリティアーキテクトのデビット・レブラン氏らが登壇。セキュアコードの重要性や開発者に求められるセキュリティスキルなどが語られた。

● セキュリティバグの50％以上がプログラムの設計エラーによるもの

マイクロソフト開発部門の必読書「Writing Secure Code」の著者である、Microsoftセキュリティアーキテクトのデビット・レブラン氏

　Microsoftでは、信頼できるコンピューティングの取り組みとして「Trustworthy Computing」を推進している。これについてレブラン氏は、「コンピュータは電気、水道、電話のように信頼できるものであるべき」という考えから生まれたものであると説明。同社会長兼チーフソフトウェアアーキテクトのビル・ゲイツ氏も、「Microsoftの製品は箱から出した瞬間からセキュアでなければならない」と話していることを紹介した。

　企業のアプリケーションが脆弱であれば、知的財産が盗まれる、システムがダウンする、生産性が失われるなどの被害が発生する。それだけでなく、企業の評判が悪くなり顧客の信頼を失うなど、目には見えない損失も生じる。レブラン氏は、情報管理者などのITプロフェッショナルだけでなく、アプリケーション開発者もセキュリティを考慮する必要性を訴えた。

　「Microsoftがセキュリティについて心配する理由はわかるが、なぜ自分たちがセキュリティを理解しなければならないのか」。こうした話をソフトウェアや情報システムの開発者から聞くことがたびたびあるという。

　これについてレブラン氏は「この考え方は賢明ではない」と一蹴。その理由として、セキュリティバグの50％以上は、プログラムの設計エラーによるものであるというデータを引き合いに出した。「セキュリティは、いわば『機能』。だからこそ開発者は、設計段階から計画を立ててセキュリティを組み込むべきだ」とし、設計開始時にセキュリティを考慮しなければ、リスクを開発プロセスに組み入れているようなものであると強調した。

　また、「セキュリティに関連のあるコードをあまり書かないので、セキュアなコードを書くツールやAPIを理解する必要はない。セキュリティに関するコードを書く場合は、エキスパートに話を聞いて理解すればいい」という開発者も多いと指摘。これについてもレブラン氏は「セキュリティという言葉を『信頼性』という言葉に置き換えるべき。セキュリティは専門家だけの問題ではない」と語り、開発者一人一人がセキュリティを認識すべきだと述べた。

● OSの脆弱性が減り、攻撃者はアプリケーションの脆弱性を狙うようになった

「OSの弱点が少なくなってきたため、アプリケーションが狙われるようになった」と語るラックの丸山司郎氏

　レブラン氏に続いて、ラックの丸山司郎氏が日本のセキュリティの状況と開発現場におけるセキュリティスキルの重要性を説明した。

　ラックがまとめた統計値によれば、2005年における外部からの攻撃ではSQLインジェクションが31％で最も多く、アプリケーション系の攻撃が16％で続いた。2004年の統計では、アプリケーション系の攻撃はほとんど見られなかったとしており、丸山氏は「Microsoftの努力によってOSの弱点が少なくなってきたため、攻撃者は異なる侵入口を探すようになった。その結果として、アプリケーションが狙われている」と分析する。

　また、同社が企業や団体の防御レベルを検査したところ、全体の59％でセッション管理系の問題点が発見されたほか、52％でプログラム設計ミスによる仕様上の問題、39％でインジェクション系の問題が検知された。丸山氏は、「我々が検査していない商用サイトにも同様の欠陥がある」と警鐘を鳴らす。企業のアプリケーションの脆弱性を解決する方法については、「開発者1人1人がセキュリティを理解していかない限りは、アプリケーションの問題は解決しない」と語り、レブラン氏と同じようにソフトウェアや情報システムの開発者がセキュリティ意識を高めるべきだと訴えた。

● 製品の各開発段階にセキュリティを配慮することによる3つのメリット

　そのほかラウンドテーブルでは、三井物産セキュアディレクションの国分裕氏と、マイクロソフトの藤村武志氏が登壇した。国分氏は、NET Framework対応のソフトウェア開発ツール「Visual Studio 2005」の特徴を解説。Visual Studio 2005から搭載されたWebテスト機能によって、意外なバグが見つかることなどを述べた。

　また藤村氏は、設計や実装、検証などプロダクトの各開発段階にセキュリティを配慮するというセキュリティ開発ライフサイクル（SDL）の効果を説明。MicrosoftではSDLを2002年から採用しており、「Windows Vista」や「Office 2007」など次世代製品の開発にも反映されている。

　藤村氏によれば、SDLを導入したことにより「今よりもセキュアなプログラムになる」「プログラムの安定性がさらに増す」「メンバーのセキュリティ意識が向上する」という3つの効果が生まれたという。中でも3番目の効果については、「開発プロセス全体にセキュリティを浸透させることで、メンバーがセキュリティをデフォルトでチェックするようになった。プロダクトだけでなく、人そのものが変わった」と評価した。

関連情報

■URL
　 Microsoft Developer Security Day
　 http://www.microsoft.com/japan/events/devsecday/default.mspx

（増田覚）
2006/03/02 15:11

- ページの先頭へ-

INTERNET Watch ホームページ

Copyright (c) 2006 Impress Watch Corporation, an Impress Group company. All rights reserved.