Internet Watch logo
記事検索
最新ニュース

マイクロソフト、開発者向けのセキュリティセミナーを開催

開発部門必読書の著者、デビット・レブラン氏らが登壇

 マイクロソフトは2日、安全なアプリケーション開発を推進する「開発者セキュリティ」施策の一環として、セミナー「Developer Security Day」を開催した。セミナー開催前にはプレスラウンドテーブルが行なわれ、セミナーの概要が説明された。

 ラウンドテーブルには、マイクロソフト開発部門の必読書となっているという「Writing Secure Code」の著者である、Microsoftセキュリティアーキテクトのデビット・レブラン氏らが登壇。セキュアコードの重要性や開発者に求められるセキュリティスキルなどが語られた。


セキュリティバグの50%以上がプログラムの設計エラーによるもの

マイクロソフト開発部門の必読書「Writing Secure Code」の著者である、Microsoftセキュリティアーキテクトのデビット・レブラン氏
 Microsoftでは、信頼できるコンピューティングの取り組みとして「Trustworthy Computing」を推進している。これについてレブラン氏は、「コンピュータは電気、水道、電話のように信頼できるものであるべき」という考えから生まれたものであると説明。同社会長兼チーフソフトウェアアーキテクトのビル・ゲイツ氏も、「Microsoftの製品は箱から出した瞬間からセキュアでなければならない」と話していることを紹介した。

 企業のアプリケーションが脆弱であれば、知的財産が盗まれる、システムがダウンする、生産性が失われるなどの被害が発生する。それだけでなく、企業の評判が悪くなり顧客の信頼を失うなど、目には見えない損失も生じる。レブラン氏は、情報管理者などのITプロフェッショナルだけでなく、アプリケーション開発者もセキュリティを考慮する必要性を訴えた。

 「Microsoftがセキュリティについて心配する理由はわかるが、なぜ自分たちがセキュリティを理解しなければならないのか」。こうした話をソフトウェアや情報システムの開発者から聞くことがたびたびあるという。

 これについてレブラン氏は「この考え方は賢明ではない」と一蹴。その理由として、セキュリティバグの50%以上は、プログラムの設計エラーによるものであるというデータを引き合いに出した。「セキュリティは、いわば『機能』。だからこそ開発者は、設計段階から計画を立ててセキュリティを組み込むべきだ」とし、設計開始時にセキュリティを考慮しなければ、リスクを開発プロセスに組み入れているようなものであると強調した。

 また、「セキュリティに関連のあるコードをあまり書かないので、セキュアなコードを書くツールやAPIを理解する必要はない。セキュリティに関するコードを書く場合は、エキスパートに話を聞いて理解すればいい」という開発者も多いと指摘。これについてもレブラン氏は「セキュリティという言葉を『信頼性』という言葉に置き換えるべき。セキュリティは専門家だけの問題ではない」と語り、開発者一人一人がセキュリティを認識すべきだと述べた。


OSの脆弱性が減り、攻撃者はアプリケーションの脆弱性を狙うようになった

「OSの弱点が少なくなってきたため、アプリケーションが狙われるようになった」と語るラックの丸山司郎氏
 レブラン氏に続いて、ラックの丸山司郎氏が日本のセキュリティの状況と開発現場におけるセキュリティスキルの重要性を説明した。

 ラックがまとめた統計値によれば、2005年における外部からの攻撃ではSQLインジェクションが31%で最も多く、アプリケーション系の攻撃が16%で続いた。2004年の統計では、アプリケーション系の攻撃はほとんど見られなかったとしており、丸山氏は「Microsoftの努力によってOSの弱点が少なくなってきたため、攻撃者は異なる侵入口を探すようになった。その結果として、アプリケーションが狙われている」と分析する。

 また、同社が企業や団体の防御レベルを検査したところ、全体の59%でセッション管理系の問題点が発見されたほか、52%でプログラム設計ミスによる仕様上の問題、39%でインジェクション系の問題が検知された。丸山氏は、「我々が検査していない商用サイトにも同様の欠陥がある」と警鐘を鳴らす。企業のアプリケーションの脆弱性を解決する方法については、「開発者1人1人がセキュリティを理解していかない限りは、アプリケーションの問題は解決しない」と語り、レブラン氏と同じようにソフトウェアや情報システムの開発者がセキュリティ意識を高めるべきだと訴えた。


製品の各開発段階にセキュリティを配慮することによる3つのメリット

 そのほかラウンドテーブルでは、三井物産セキュアディレクションの国分裕氏と、マイクロソフトの藤村武志氏が登壇した。国分氏は、NET Framework対応のソフトウェア開発ツール「Visual Studio 2005」の特徴を解説。Visual Studio 2005から搭載されたWebテスト機能によって、意外なバグが見つかることなどを述べた。

 また藤村氏は、設計や実装、検証などプロダクトの各開発段階にセキュリティを配慮するというセキュリティ開発ライフサイクル(SDL)の効果を説明。MicrosoftではSDLを2002年から採用しており、「Windows Vista」や「Office 2007」など次世代製品の開発にも反映されている。

 藤村氏によれば、SDLを導入したことにより「今よりもセキュアなプログラムになる」「プログラムの安定性がさらに増す」「メンバーのセキュリティ意識が向上する」という3つの効果が生まれたという。中でも3番目の効果については、「開発プロセス全体にセキュリティを浸透させることで、メンバーがセキュリティをデフォルトでチェックするようになった。プロダクトだけでなく、人そのものが変わった」と評価した。


関連情報

URL
  Microsoft Developer Security Day
  http://www.microsoft.com/japan/events/devsecday/default.mspx


( 増田 覚 )
2006/03/02 15:11

- ページの先頭へ-

INTERNET Watch ホームページ
Copyright (c) 2006 Impress Watch Corporation, an Impress Group company. All rights reserved.