| 成果物目的のワーキンググループ
【セキュリティポリシーWG】
【不正プログラム調査WG】
【ハニーポットWG】
【S/MIME検討WG】
【Webアプリケーション
セキュリティWG】
【脆弱性定量化に向けての検討ＷＧ】
【暗号モジュール評価基準WG】
勉強会目的のワーキンググループ
【PKI相互運用技術WG】
プロジェクト
ChallengePKI
|
 |
WEBアプリケーションセキュリティWG
WGリーダー：二木真明氏
（住商情報システム)
- １．WGの活動目的
ここ１，２年でクローズアップされながら、ユーザのみならず、ベンダにおいても、まだまだ認識が充分とはいえない Web アプリケーションのセキュリティについて考える。いくつかのテーマについて分科会的に検討を進めながら、月１回の全体会で、各分科会の進捗や成果についてレビューし深めていく。当面のテーマとしては以下のようなものを考えている。
２．WGの年間活動予定
| ・ |
Webアプリケーションセキュリティについての啓蒙コンテンツの作成
Webアプリケーションセキュリティについて１日セミナーができる程度のコンテンツを、総論、各論（たとえば開発面、検査面、対策、防御面）について作成する。可能ならば、セミナー開催もしくは、展示会などのイベントにおいてのセッション実施などを視野に進めていく。 |
| ・ |
Webアプリケーションセキュリティ受発注用ガイドラインの検討
Webアプリケーションの開発者、発注元間で共通認識とできるような仕様、ガイドラインを考える。開発にあたってのセキュリティ要件を、漠然とした形ではなく、具体的に認識できるようなものを目指す。 |
| ・ |
攻撃手法などの技術的テーマを掘り下げる
たとえば、SQLインジェクション、クロスサイトスクリプティングなどと一言で言われるが、その発現のしかたや、攻撃方法、インパクトは様々。たとえば、SQLインジェクションについてそのパターンを深く研究するような活動を行う。 |
３．WGの年間活動報告
２００５年度は、Webアプリケーションセキュリティに関する技術的視点からの啓発コンテンツの検討、システムの受発注における受注側、発注側相互にコンセンサスがとれるようなガイドラインの検討などの作業を行った。啓発コンテンツは、「総合」「運用」の２つを検討したが、運用部分についてはアウトラインの検討にとどまった。
受発注ガイドラインについては、具体的なガイドラインを作るまでには至らなかったが、議論の過程で、このようなガイドラインを作るための要件をある程度明確にできた。また、実際に機器などを持ちより脆弱性のあるデモサイトなどの検証を行うイベントを一回実施した。 |
