業務アプリだけど……経験アリ＞要件定義段階でのセキュリティの検討

セキュアデベロップメント - ikepyonのお気楽な日々～技術ネタ風味～
セキュアデベロップメントそにょに - ikepyonのお気楽な日々～技術ネタ風味～

Webアプリじゃなく一般的な業務アプリになりますが、昔(もうかれこれ3年程前)に要件定義段階でのセキュリティに対する検討作業を進めた事があります。

この時はやや特殊な事情があり、要件定義段階からセキュリティ要件を詰める事が求められ、自分が担当となって作業を進めた事があります。
(尤も、その後色々な事情でデスマ化したんですけれど。orz　あ、自分が原因じゃない事だけは確かです(設計(外部設計)の段階で顧客に振り回されたってのが原因)。幸いな事に、自分はデスマ化する前に足を洗えたんですが(苦笑)。)

この時はJIS X 5080(今のJIS Q 27001)の詳細管理策をベースに、ハード、システム(主にOSやNW機器への設定)、開発、運用それぞれに対して、最低限満たすべき大粗の要件を定めてました。

多分Webアプリでも要件定義の段階で定められる内容って、恐らくこの程度のような気がします。
(あんまり細かく詰めてしまうと、いざ開発する段階で「あれがダメ」「これがダメ」という事で骨抜きになってしまったモノが出来てしまう恐れが強い気がします。)

……寧ろこの段階では、開発に関わるメンバ全員に対して「今回開発するモノはセキュリティに対して十二分に意識を払う必要があるぞ～」という意識付けを行うために行うようなものでは？、と思っていたり。

まぁ……開く人は開きますね＞Targeted Attackなメール

ターゲッテッドアタック - まっちゃだいふくの日記★とれんどふりーく★

ごく一部の人(※1)には口頭などで説明していたりするので知っているかもしれませんが……それ関係で飯を食っている(※2)のであまり大きな声では言えませんが……

まず間違いなく開く人は開きます……どの位と言われると正直困りますが……攻撃対象となる人の集団の質にもよりますが、最低1割は開くかなぁ……と。

個人的には、もし攻撃者の立場になって考えるなら……

添付ファイルよりも悪意のあるコードが置かれたURLを本文に記述(企業ユーザにアタックするならともかく、不特定多数の場合MS-Officeは入っていない人もいるから)

シナリオを「添付ファイルに書いて返信」から「リンク先にアクセスして画面の指示に従って入力」に変更、本文を修正

リンク先のURL、特にドメインはそれっぽいドメインを取得

リンクをクリックしてしまうと、悪意あるコードが実行され……(以下略)

……というシナリオにしてしまうかなぁ……。

「Plain-Textメールだとリンク先の偽装ができないので、URL丸見えなんですけどw」という意見に対しては……「それでもクリックする人はいる(事実 orz)」と切り返して差し上げます(苦笑)。
(この手の攻撃は……攻撃者側にとっては「100人送って1人でも開いてしまえば勝ち」であって、守る側からすると「えらい不利」だったりする訳でして……。)
---
(※1)例えばSKUFスタッフメンバとか……まっちゃさんやヤマガタさんにも「まっちゃ139勉強会」の懇親会で軽く話した事があったりします。
(※2)そういうメールによる被害を如何に避けるのかという方で、です。当たり前ですが、そういったメールを送る(spammer)側じゃないですよ。