[eWEEK] Web�A�v���̐Ǝ㐫���[�X�g10�Ƃ��̑΍�

2003/2/11
Timothy Dyck

�@�Z�L�����e�B�[�փT�C�g��Open Web Application Security Project�iOWASP�j���AWeb�A�v���P�[�V�����̐Ǝ㐫���[�X�g10�̈ꗗ�������[�X�����B���ۂɔ����������i�ƁA�����ɑΉ�����e��\�����[�V�����j�����������グ���Ă���B�ȉ��ɐƎ㐫�̃��X�g��eWeek Labs�ɂ�銩���������B

�y�Ǝ�_1�F�����؂̃p�����[�^�z
�y�΍�z�N���C�A���gPC����Web�A�v���P�[�V�����ɑ��M����Ă������̓f�[�^�����؂����Ɏ󂯓���邱�Ƃ͐�΂ɔ����邱�ƁB���͕�����𐳋K�\�����g���Ē჌�x���ŏ򉻂��邩�A�񋓂��ꂽ���l�Əƍ����ă`�F�b�N����B�܂��́A���̓f�[�^�ɑ΂��ăA�v���P�[�V�������x���̃`�F�b�N�����s����Ƃ����悤�ɁA���̓f�[�^��2�ʂ�̕��@�ŃX�L���������s����悤�ɁB

�y�Ǝ�_2�F�A�N�Z�X�R���g���[���̔j���z
�y�΍�z���[�U�[���������񃍃O�C��������A�A�v���P�[�V�����̊e�y�[�W�́A�A�N�Z�X�R���g���[���̃��[�����m���ɓK�p����K�v������B���̂Ƃ��A�f�[�^�X�g���[���̓��������Ɉˑ����Ă͂Ȃ�Ȃ��B�A�v���P�[�V�������x���̃`�F�b�N�ł��A�N�Z�X�R���g���[�����m���Ɏ��{����K�v������B�d�v�ȍ�Ƃ̑O�́A�Z�b�V�����n�C�W���b�N�ɑ΂���h�q��i�Ƃ��ăg���t�B�b�N���Í������A���v���C�ƃ��[�U�[�̍ĔF�؂�j�~���邱�ƁB

�y�Ǝ�_3�F�A�J�E���g��ǂƃZ�b�V�����Ǘ��z
�y�΍�z�A�^�b�J�[�����[�U�[�̃Z�b�V�������ɃA�N�Z�X�ł��Ă��܂��ƁA�F�؃T�u�V�X�e���S�̂�������邱�Ƃ��ł��Ă��܂��B�f�x���b�p�͐����ȗ��R���Ȃ�����A���O�̃Z�b�V�����L�[�����R�[�h�𗘗p�����A�A�v���P�[�V�����T�[�o�̃Z�b�V�����L�[���W�b�N�𗘗p���Ȃ��Ă͂Ȃ�Ȃ��B

�y�Ǝ�_4�F�N���X�T�C�g�X�N���v�g�̎�_�z
�y�΍�z���[�U�[�̓��͂���͂��ăJ�b�R�i�u<�v�Ȃǁj��HTTP�̃G�X�P�[�v�V�[�P���X�ɕϊ����A�X�N���v�g�R�[�h���T�[�o�Ɋi�[�����̂��������B�����̃`�F�b�N��������邽�߂ɁAASCII������Unicode�ɃG���R�[�h�ł��邱�Ƃ��o���Ă��������B

�y�Ǝ�_5�F�o�b�t�@�I�[�o�[�t���[�z
�y�΍�z����̓o�b�t�@�I�[�o�[�t���[�ɑ΂���ی�@�\�������Ȃ�����iC��C++���ł����ɂȂ��Ă��錾��j�ŏ����ꂽ�R���|�[�l���g�ɁA���[�U�[�̓��͂��n���ꂽ�Ƃ��ɂ����������郊�X�N���B�]���āA������Web�A�v���P�[�V�����̃R�[�h�ɑg�ݍ��ނ͉̂�����邱�ƁB�T�[�h�p�[�e�B�̃R���|�[�l���g�ɂ͏�Ƀp�b�`�𓖂Ă邱�ƁB

�y�Ǝ�_6�F�R�}���h���͂̃M���b�v�z
�y�΍�z�R�}���h���͂̃M���b�v�̒Z����Web�A�v���P�[�V�������R�}���h�^�[�~�l�[�V�����������̓R�}���h�Z�p���[�V����������r�����邢�̓G�X�P�[�v�����Ƀ��[�U�[�̓��͂�OS�̃v���O������SQL�f�[�^�x�[�X�ɓn�����Ƃ��ɘI��A�A�^�b�J�[�������̓��̓f�[�^�ɃR�}���h�𖄂ߍ��߂�悤�ɂȂ��Ă��܂��B�����āA�����̃R�}���h��Web�T�[�o�������̓f�[�^�x�[�X�T�[�o��Ŏ��s�����B�f�[�^�x�[�X��Web���[�U�[�̃��O�C�����‚𐧌�����K�v������̂��B

�y�Ǝ�_7�F�G���[�n���h�����O�̎�_�z
�y�΍�zWeb���[�U�[�ɂ́A�����ăf�t�H���g�̃G���[���b�Z�[�W�������Ă͂����Ȃ��B�G���[��Ԃ����m���Ă�����ʓI�ȃ��b�Z�[�W��\�����A���̗��o���������B�G���[�g���b�L���O���J�j�Y�����C���X�g�[�����A�T�C�g�̌��_���T���Ă���Ƃ��͋C�Â��悤�ɂ���B

�y�Ǝ�_8�F�Í��̕s�K�؂ȗ��p�z
�y�΍�z���ݎ嗬�̌���͂��ׂċ��͂ȈÍ����T�|�[�g���Ă���B���؍ς݂̃A���S���Y�����g���A�\�[�X�R�[�h���J�����Ă��܂��o�O���A�v���P�[�V�����T�[�o�ł͔�r�I��ʓI�ł��邽�߁A�\�[�X�R�[�h�̒��ɃL�[��ۑ�����悤�Ȃ��Ƃ͂��Ȃ��悤�ɁB

�y�Ǝ�_9�F�����[�g�Ǘ��̖��z
�y�΍�z���͂ȔF�؋Z�p�𓱓����A�^�p�c�[���̓����[�g����g���Ȃ��悤�ɂ���B�����[�g�Ǘ����K�v�ȏꍇ�́AVPN���g���ăl�b�g���[�N�A�N�Z�X�𐧌����邱�ƁB

�y�Ǝ�_10�FWeb�ƃA�v���P�[�V�����T�[�o�̌�ݒ�z

�y�΍�z�����̃T�[�o�p�\�t�g�E�F�A�ɂ͎����Ƀp�b�`�𓖂ĂĂ����B�s�K�v�Ȋg���@�\��f�t�H���g�̃A�J�E���g����уp�X���[�h�͍폜����B�����ď�񗬏o���������悤�A�v���P�[�V������ݒ肷��B�Z�L�����e�B�̍ŗD�ǎ�����C���v�������g���邱�ƁB

��Web�A�v���P�[�V�����̂��߂̍ł��m���ȃZ�L�����e�B�m�ێ�i

�@Web�A�v���P�[�V�����ɂ����钴�ꗬ�̃Z�L�����e�B���������邽�߂�IT���傪���낦�Ă����Ȃ��Ă͂Ȃ�Ȃ��c�[���͎��̒ʂ�ł���B

��Web�A�v���P�[�V�����E�X�L���i
�@Web�A�v���P�[�V�����E�Z�L�����e�B�E�X�L���j���O�E�c�[���́AWeb�A�v���P�[�V�����Ɋւ���e��Z�L�����e�B�̌��ׂ𑦍��Ɍ��m���邱�Ƃ��ł���B�������A�v���P�[�V�����̊J���T�C�N���ɂ�����Z�L�����e�B���̔����ɗ��p�������ieWeek Labs�ɂ��2002�N5��20���́u�Ǝ㐫�]���p�b�P�[�W�Ɋւ���L���v���Q�ƁB

<�\�����[�V����>
Sanctum��AppScan
SPI Dynamics��WebInspect
Kavado��ScanDo
OWASP��Web Scarab�i���݌v��i�K�j
Cenzic��Hailstorm�i��L�̊e�c�[�������ėp�I�ȏ�Q�����V�X�e���j

��Web�A�v���P�[�V�����t�@�C���E�H�[��
�@����͍��㔭�W���鐻�i�J�e�S���ŁA�X�e�[�g�t���g���t�B�b�N������p���ē����Ă���HTTP���N�G�X�g���_�C�i�~�b�N�ɉ�͂���уt�B���^�����O���A�Ó��ȃ��N�G�X�g�݂̂��󂯓n���B�����B�̎s��Z�O�����g�������ݓI�ȗL�����͍����A�����ieWEEK�j�́A�����I�ɂ͂��̃A�v���[�`�Ō��܂肾�ƍl����B

<�\�����[�V����>
Sanctum��AppShield
Stratum8 Networks��Stratum8 Application Protection System 100
OWASP��CodeSeeker�iVersion 1.0��2003�N���{�Ƀ����[�X�\��j

[�p���L��]
Top 10 Web App Vulnerabilities OWASP list highlights frequent Web application security mistakes.

[�֘A�����N]
Open Web Application Security Project�iOWASP�j

[�֘A�L��]
HP�A�R�����x���̃Z�L�����e�B�Z�p�𗘗p����Linux�𔭕\ �i��ITNews�j
Web�A�v�����g���Ɓh�Ō����A�O�䕨�Y�̃Z�L�����e�B�T�[�r�X �i��ITNews�j
�V���m�x���̃����[�X��1�e�̓Z�L�����e�B���i�Q �i��ITNews�j
�uJ2EE��.NET�͋����A�����”\��Web�T�[�r�X�\�z���v��BEA �i��ITNews�j
�Z�L�����e�B�|���V�[�Ŏ��Ƃ���� �iNews Insight�j

Copyright(c) eWEEK USA 2002, All rights reserved.

�������񂹂��������F



��IT���[���}�K�W���@�V������X�^�b�t�̃R���������[���œ͂��܂��i�����j