« 2015年5月 | メイン | 2015年11月 »

2015年9月

2015年9月 8日 (火)

Webアプリケーションセキュリティについての社内勉強会を開いてみた

あっという間に秋になりましたね。エンジニアの小川(mitsuruog)です。
9/3にWebアプリケーションセキュリティというテーマで社内勉強会を開きましたので、その話を紹介します。
(特にディスカッションが面白かったのでその話を中心にします。)

Security00


Webアプリケーションセキュリティについては、新人時代などに一度は学習する方は多いと思いますが、それ以降は実践の中で学習していく人の割合が多いのではないかと思います。
とはいえ最近は「できてて当たり前」となっているWebアプリケーションのセキュリティ。

今回は普段やっていることの復習も兼ねて、社内で勉強会を開いてみました。

Security01


実施内容

内容は次の通りです。

  • Webアプリケーションセキュリティの概要とよくある脆弱性について
  • Force.comのセキュリティについて
  • Webアプリケーションセキュリティについてのディスカッション

特徴は、弊社の強みであるSalesforce.com上でのセキュリティ対策についてと、設計についてのディスカッションです。

Security02


Salesforce.com上でのセキュリティ対策については模様はこちらを参照してください。
 → セールスフォースの豆知識: セキュリティに気をつけてForce.comで開発しよう!

ディスカション資料はこちらです。

ディスカッションは、4人ずつ班に別れ架空のSNSサービスの設計に潜む脆弱性を探します。
ねらいは、異なる視点の意見を聞きながら、脆弱性につながりかねない設計上のポイントについて、新たな気づきを得ることです。

単に脆弱性がありそうというだけではなく、

  • どんな攻撃ができるか
  • どんなまずいことが起きる
  • どう防御すれば良いか

についてまで踏み込んで指摘できることが大事です!

これらのことを念頭にディスカッションしてもらいました。

実施風景

(真剣なディスカッション)

Security04


(脆弱性がある箇所に付箋を貼っていきます)

Security05_2


(ディスカッションにタイムキーパーは必須です)

Security03


ディスカッション終了後は、全員で発見した脆弱性の報告会。
その後、ビールを片手にさらなるディスカッションが展開されました。

Security07


まとめ

脆弱性を見つけてくれるか少し心配したのですが、ほとんど見つけられてしまいました。
さすがです!!
(とはいえ、少し簡単すぎたかな。。。)

実際にディスカッションをやってみて、次の学びがあったと思います。

  • やっぱり集合知はすごい
    • 複数人でチェックすることで、全ての班でほとんどもれなく抽出できた。
    • ベテランと若手で班になると、教育効果としても良さそう。
  • 短時間で共通認識を得ることができた
    • 発見した脆弱性を全員で共有することで、設計の危ないポイントについて全員で共通認識を得ることができた。
  • 設計を題材とすることで、エンジニア以外も参加できた
    • 実装より設計の方が対策コストが低い、もちろん要件の方がもっと低い。
    • 次回は要件編をやっても面白そう。

(各班同じような箇所を指摘しています)

Security08_2


このような「できて当たり前」の共通認識の浸透は、ついついおそろかになってしまいがちですですね。
地道に続けていく事で少しずつ強いエンジニア組織になっていくのではないかと思ました。

少し長くなりましたので、発見した脆弱性のレポートについては次回にします。

解答編はこちらです。
フレクトのクラウドblog(New): Webアプリケーションセキュリティについての社内勉強会を開いてみた(解答編)

Security06


ではではー。

続きを読む "Webアプリケーションセキュリティについての社内勉強会を開いてみた" »

採用情報

株式会社フレクトでは、事業拡大のため、
・Salesforce/Force.comのアプリケーション開発
・HerokuやAWSなどのクラウドプラットフォーム上での
Webアプリケーション開発
エンジニア、マネージャーを募集中です。

未経験でも、これからクラウドをやってみたい方、
是非ご応募下さい。

フレクト採用ページへ

会社紹介

株式会社フレクトは、
認定コンサルタント
認定上級デベロッパー
認定デベロッパー
が在籍している、セールスフォースパートナーです。
また、heroku partnersにも登録されています。
herokuパートナー
株式会社フレクトのSalesforce/Force.com
導入支援サービス
弊社の認定プロフェッショナルが支援致します。
・Visualforce/Apexによるアプリ開発
・Salesforceと連携するWebアプリ開発
も承っております。
セールスフォースご検討の際は、
お気軽にお問合せください。

2017年8月

    1 2 3 4 5
6 7 8 9 10 11 12
13 14 15 16 17 18 19
20 21 22 23 24 25 26
27 28 29 30 31    
ブログ powered by TypePad