サイバー攻撃の現状

セキュリティ問題

企業の9割は脅威が侵⼊済み サーバールームから役員室へ

サイバー攻撃• ⽇本の政府機関への不正アクセス
約508万件*1• 企業の7割はセキュリティ事故を経験
9割は未知の脅威が侵⼊済み*2• ⽶国納税者アカウント10万⼈
⽶政府職員400万⼈の情報流出*5•

侵⼊から発⾒されるまで242⽇（中央値）*3

被害

推定総額

360兆円*3•

データ侵害に対する平均的なコスト 4.2億円•

クレジットカード会社への賠償⾦ 80億円+*6•

不正送⾦被害 29憶円（企業の被害が増加）• 120万円/情報流出した社員(総額10億以上)*7“ネットセキュリティはCEOレベルで対処すべき事項”*3

CEOの61% ネット攻撃が増加することを⼼配 *4“CEOとCIOが退任” 適切なセキュリティ対策を実施していなかったとの株主からの圧⼒*６

APAC CIO 調査

新しいテクノロジ採⽤に際しての最⼤の障壁
予算

81%

信頼

79%

採⽤に伴う
影響

72%

ITに関する決定を
新しいテクノロジ 新しいテクノロジにに対する投資の 対するセキュリティ、 する際に、多くのプライバシーや コン 利害関係者が⽣まれ、
不⾜
意思決定が遅延プライアンスの懸念*1情報セキュリティ政策会議 2013年度データ*2 トレンドマイクロ IT Japan 2015 2015年07⽉*3 McKinsey & Co. ⾼度ネットワーク社会で出来ることとそのリスク:
企業への⽰唆2014年1⽉*4 PwC
グローバル CEO 調査 2015年1⽉*5 ⽶内国歳⼊庁（IRS） 2015年5⽉
⼈事管理局 2015年6⽉*6 Bloomberg 2015/8/19 , computer weekl y 2015/5/06*7 Reuters 2015/10/20

2

米国ホワイトハウス–
無制限の予算を投入している組織であっても脆弱である“国務省高官によれば、国務省への侵入において、国務省内の機密を扱う
メールシステムは影響を受けていない、しかし、ハッカーはホワイトハウスのネットワークへの侵入のために（国務省のシステムを）利用した"ホワイトハウスに侵入したハッカーは、機密情報にアクセス
した
STEVEN MUSIL
CNET
April 13, 2015

3

不正アクセスによる被害と事業への影響
動機
•
•
•
•
•
•

愉快犯
金銭目的
テロリズム
情報
（スパイ）
紛争行為
不注意

手法など
•
•
•
•
•
•

内部犯行
標的型攻撃
水飲み場攻撃マルウエア感染
ハッキング
機器破壊

被害
•
•
•
•
•
•

事業への影響

情報流出
機密情報流出
データ破壊
踏み台
不正操作
DDoS

機密性
Confidentiality
完全性
Integrity
可用性
Availability

•
•
•
•
•

売上/株価
対応/賠償費用
金銭的な損害事業継続
不正競争被害•

ブランドイメージ

標的型攻撃により、銀行と放送局のPCがダウン。銀行
業務や放送業務が停止

標的型攻撃により、多数の偽造証明書を発行。ルート
証明書が無効化
され倒産

標的型攻撃により、製品の機密情報が流出。製品の再配布など
により、多額の費用が発生

企業のオンラインバンクがマルウエアにより不正に操作され、不正送金が行われた

ウィルス感染により、工場のネットワークが停止し、生産設備
がダウン

POSシステムへの侵入により、
大量の顧客情報とカード情報が流出

インターネット接
続のない制御装置を経由して、原子炉の遠心分離機が破壊された

上記機密情報により、軍事産業
へVPN網への不正アクセスが行われた

元社員が、転職
後にシステムを使って得意先の情報を転職先に持ち出した

内部犯行により、顧客情報が流出。
1.5か月の営業自粛により、150億円の機会損失4典型的な事例としての日本年金機構事案に対する考察
事件の概要

② PC
・AVは検知・駆除せず
・RATのインストールに成功
・外部からの操作が行われた・パスワードによるデータ保護

攻撃者
0

秘

1

ファイル
サーバー

DC
(認証サーバ）32

秘 • FileShare

Internet

標的PC① メールサーバ・GW
・メールサーバ・GWでマルウエアを発見できず、メールを通過させている

ファイア
ウォール

4

③ サーバー・ITインフラ
・PCなどの統制

秘④ファイルの転送・ファイル転送機能等で外部へ

5⑤ DC:ID管理・認証サーバ
・IDやPCなどの設定を管理する
ドメイン管理者権限を奪取必要とされる視点①攻撃の検知・防御②PCやサーバーの権限・設定ネットワーク：PC
等に到達する攻撃を減少させる
ホスト：最新の攻撃を検知しやすい環境
検出：ネットワー
クやログから攻撃を検知・検出する

マルウエアが動作しない、他のPCやサーバに侵入が困難なシステム・設定を実装する
特に、認証サーバーの設定には配慮する③適切な情報保護
ファイル（データ）を盗まれても、情報が漏れない
ような暗号を使った保護を、多段階で行う④システム的な統制とモニタ（監視・監査）⑤教育・啓発・訓練

PCやサーバ、
ネットワーク接続を、一括して管理できる仕組みを構築する
この仕組みに基づいたモニタを行い、監視や監査の元データとする

利用者への教育は不可欠、管理者に対する教育も忘れずに行う事故を想定した訓練を定期的に実施することも重要
5マイクロソフトにおけるマルウエア
マイクロソフトのIT環境

100

ヵ国＋

15万 60万人

台+

2014年7月-12月 (出典SIR18)

80万

検出

AVの最新のリアルタイム検知適用率

99.85%

感染

2.6 回/年

件

検出

件

感染 1/

143

2100

台/年

6

敵を知る：攻撃指令 #2015-02-20
攻撃にあたっての初期情報

ハッカー宣言• CONTOSO社••• 目的のためには手段を選ばない• できるだけ楽な方法で攻撃する• 時間をかけることを厭わない

ITソフトの大手企業
http://www.contoso.co.jp/• ID-SEC社••• 成功するまで続ける（失敗を恐れない）

認証技術に特化したITセキュリティベンダー
ID-SEC者が販売する次世代認証技術は、市場を変えるといわれている• ネットワーク• CONTOSO社が、ID-SEC社を買収すると噂されている••• この買収が実現した場合、
ID-SEC社の株価は間違いなく上昇する

外部から接続ができるのは、DMZのWebサーバーとメールだけである社内から社外に対する通信も、メールとWeb以外はすべてブロックされている• 標的リスト• CONTOSO社に侵入し、買収
金額と、発表の日程を盗み出せ• 市場を混乱させるために、その情報を社長名義のメールでメディ
アにばらまけ

•
•
•
•

社長
人事部長
総務部長
IT技術者

林 櫂
hkai@contoso.co.jp
渋谷 あきこsakiko@contoso.co.jp
大黒 俊英
otoshihide@contoso.co.jp
尾野 里佳子orikako@contoso.co.jp••

サポート窓口
広報窓口

support@contoso.co.jp
pr@contoso.co.j

標
的
Ｐ
Ｃ

• メディア• 読売新聞 社会部 soc@yamn-shinbun.co.jp
7

敵を知る：標的型攻撃体験ワークショップ：シナリオ概要
秘攻撃者• FileShare

2

ファイル
サーバー

1
Internet
標的PC

秘

3

DC

ファイア

①標的PCへの攻撃⓪準備
ウォール-Administratorで• RATを作成する
logon• IT管理者PCからFSにDomain Adminで• メールで侵入
FileShareする• FSにFileShareされ• 標的PCからファイルていることを確認
サーバーにFileShareする4

秘メールサーバー

IT管理者
PC• Domain
AdminでFileShare②FSへの攻撃-Administratorは同一パスワード• FSを検索し機密情報を取得• FileShareを使ってツールBをコピー• コマンドラインから、ツールAを使って、FS上のツールBを実行し、Domain AdminのID/PWD
ハッシュを取得③DCへ攻撃• 取得したハッシュを使って、Domain AdminでDCにFileShare• NTDSファイルを攻撃者PCにコピー• ローカルでNTDSをクラックして、すべてのアカ
ウントとパスワードを解析する。
④なりすましメールの送信• 攻撃者PC上で、閲覧した情報をもとに、なりすましメールを作成。
• 人事部長PCにアップロード• コマンドラインから、認証SMTPに接続し、メールを送信

ワークショップのポイント
Windows の最新版(8.1以降)をデフォルトで利用すると一連の攻撃は成功しません

攻撃を成功させるための要因
管理者権限について
ビルドインアドミニストレータ権限で利用
UACを無効にする
ローカルで共通の管理者のアカウントとパスワードが存在する（キッティング等）
メールについて実行ファイルが添付されたメールが端末まで届く

端末についてOffice 2003等古いOfficeを利用している（保護されたビューが実装されていない）
最新のセキュリティソフトを利用しない
最新のOSを利用しない（Windows 8.1, WS 2012R2以降）
Pass-The-Hash対策について
ドメインアドミニストレーターで作業を行う場合がある
ダイジェスト認証を有効になっている（可逆的にIDとパスワードを保存する必要がある）
LM認証が有効になっている

8

Internet

2013

2012

2011

2010

2009

2008

2007

2006

2005

2004

2003

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

1989

1988

1987

1986

1985

1984

1983

1982

1981

1980

1979

1978

1977

30+ years of computing & insecurity
Cloud• 東⽇本⼤震災•
四川⼤地震• 天安⾨事件• スマトラ沖地震•有珠⼭• ｽﾍﾟｰｽｼｬﾄﾙ• 御巣鷹⼭• 911• 不審船•全国での豪⾬• JR⺠営化 •ドイツ統⼀噴⽕ • ｽﾘｰﾏｲﾙ島•JCO臨界 •省庁再編 •中越地震•リーマンショック• ﾁｪﾙﾉﾌﾞｲﾘ•BSE • SARS • ｶﾄﾘｰﾅ
事故•中国ソースコード•ﾄﾙｺ •三宅島噴⽕ •伊⼤停電•福知⼭線•郵政⺠営化• Amazon.com
•⽶⼤停電
⻄部地震
• Apple II• Lotus 123•年⾦問題• salesforce •Amazon•Gmail• Net BSD
• Commodore•Adobe • CISCO•GAE•G-Apps• Yahoo
AWS
•Free
BSD
• Atari• G-book•Sun-1 •Dell• Google•Web 2.0•eBay•
MOSAIC•
Wikipedia• TI-99•Compaq• G-Map/Street View•
• mySpace•Netware• Real Player• Twitter• TRS-80•Symantec
Linux• Blog•CheckPoint•
FaceBook•VAX-11/780• Skype• IBM PC
• IBM PS/2
• Netscape• Macintosh•1BSD•MS-DOS•Kindle•iPad• Windows 3.0 •ISS
•OS/2
•TRON
•
iMac
• YouTube •Chrome•Mac OS-X•ORACLE•DOMAIN• Flash••• PDF•Android• iPod •XP SP2•iPho•4.1BSD• Internet Explorer
J3100
Dynabook•IE6 • .NET
•IE10
•IE7
•IE8
ne
•IE9
•Windows 95 •IE5
•Win XP• ARPA Net IP•Win8•Win 7•Vista• Windows 98• C++• Perl• Java•WS 2003
化•WS 2008•NT3.1•Win
2000• NT 4.0• Slammer•Azure• CodeRed•• PHP•Stuxnet• Blaster
•
Nimda
Ruby
•
JavaScript•Duqu •Flam
•
Virus
Book
• Little Black Book
• Elk Cloner•
MPACK• Concept• Brown orificee• Sobig• Stealth virus•Xerox• Zeus• Virus Creation Laboratory • Melissa• Agobot• WiityWorm•(Frodo/Whale)
• Ken
•DNS
Palo Alto•Gumblar• ©Brain Virusʼ
•MTE• Ping of Death• MyDoom• I LOVE
Thompson •Yale, Cascade,
Changer“blob”
•
Smart
Phone
• Michelangelo•
INN/phf• SasserYOU• FredJerusalem,
Trojan
•
SPAM
Mails
•
SNS
• statd,• Morrisʼ Worm
• First SPAM
Cohenʼs•Open
Lehigh, etc.
• Spyware • Targeted
Malware•Anonymous• Netcatnamed,popd•Conficker
VAX
Attack• Wonk Worm
DNS
• Apache•Back
Orifice• FBI arrest
Viruses•Sony,
etc• Phishing (AOL)• Auction•Chunked_BO• Robert T Morris“414s” Hacker
•RSA
•
Scam
• Phishing
fined $10K, 3• Estonia
Group• Solar Sunrise• HBGary
proliferated
years probation• case • US/Korea• Huge Data Leak case• Aurora
•
Yahoo
DDoS
•
Kevin
Mitnick•2G携帯• “Cukooʼs Egg”
• DDoS on DNS root
• AT&T Janes•Diginotar case
• FISC•DDoS tools• mixi • Attack for JP Soft• テレホーダイ•ファーストサーバー
•
ニコ動
•3G携帯
• ADSL• NTT⺠営化
• GyaO•PHS• 標的型攻撃• IBM spy case• 楽天
•ｱﾅﾛｸﾞ携帯電話• Winny • Winnyよる流出が頻発• IIJ• 遠隔操作• ｵﾝﾗｲﾝﾒﾃﾞｨｱ• NIRT• NISCウィルス• 2ch• JP gov•Zeus上陸• 新聞社のページ
BotnetHP
Worm communization
Passive Infection
Worm as a Research• tamaWorm in the wild
Virus via Media
Document / Local BO
Protocol Weaknesses/Remote Buffer overflow
Virus via E-Mail
Insecure Default/Weak Security Techniques/Feature Misuse/Social Engineering
Under Ground Business(RBN, Rock Phish..)Information Warfare
Cyber Espionage
Computer Crimes
Cyber Crimes•SOX• 個⼈情報保護法
9• J-SOX
UK Green Book to BS 7799 to ISO 17799
PDCI DSS
Trusted Operating Systems (Orange Book)
Common Criteria
Trusted Network (Red Book)
Standalone Systems – Disk/Diskette Sharing

Client-server/PC-LAN Networks

Broad band Network

Wire & Wires less

• LA地震• 世界貿易• 神⼾震災ｾﾝﾀｰ •地下鉄ｻﾘﾝ

Security Development Lifecycleのコア要素• SD3+C：SDLの基本コンセプト• Secure by Design, by Default and in Deployment.
• Communications• 脅威モデル（Threat modeling）

Threat modeling は、コードレビューでは⾒つけにくい、バグ以外の脅威を⾒つけるために有効.
• アプリケーションの分解と、境界の明確化• 脅威の分析・定義と分類• STRIDE 分析• Spoofing, Tampering, Repudiation, Information
disclosure, Denial of service , Elevation of privilege• 攻撃⼿法の特定• 脅威への対策

10

Security Development
Lifecycle実施要素
要件定義

設計

実装

開発ﾂｰﾙと技術
教育とﾄﾚｰﾆﾝｸﾞ 設計
セキュアな
ｾｷｭﾘﾃｨに
静的なｺｰﾄﾞ
開発を実施関するｱｰｷﾃｸﾁｬ
分析ﾂｰﾙ群
できるように と、設計要件の 問題のある教育するAPIの禁⽌
規定
開始要件
弱い暗号の
DiD ﾌﾟﾛﾃｸｼｮﾝ
でのﾋﾞﾙﾄﾞ
ｾｷｭﾘﾃｨｱﾄﾞﾊﾞｲ 禁⽌(/GS,
ｿﾌﾄｳｪｱのｱﾀｯｸ
ｻﾞの配属
ｻｰﾌｪｽのﾄﾞｷｭﾒﾝﾄ HeapTerm,
開発ﾂｰﾙと/NOEXECUT
化
環境の⽤意
E, and
脅威のモデル化
ｾｷｭﾘﾃｨﾏｲﾙ
ASLR)
設計上のﾘｽｸをｽﾄｰﾝの設定
軽減する
XSS 対策ﾗｲﾌﾞﾗﾘの利⽤

検査

出荷

ﾃｽﾄの為のﾂｰﾙと技術
Fuzzing
ｱﾀｯｸｻｰﾌｪｽ
分析
ｾｷｭﾘﾃｨｺｰﾄﾞ
ﾚﾋﾞｭｰ
集中的なｾｷｭﾘﾃｨﾃｽﾄﾍﾟﾈﾄﾚｰｼｮﾝﾃｽﾄ
ﾚｽﾎﾟﾝｽの計画の⽴案
Security
Push
出荷基準への準拠

Final
Security
Review
ｾｷｭﾘﾃｨﾁｰﾑによる独⽴したﾚﾋﾞｭｰ
SDL適応情報のドキュメン
ト化

対応・対処
ｾｷｭﾘﾃｨﾚｽﾎﾟﾝｽ
計画の⽴案と実施
開発に対するﾌｨｰﾄﾞﾊﾞｯｸﾙｰﾌﾟ
原因の分析

出荷と導⼊
承認

11

SDLのISO/IEC 27034-1への適合宣⾔
今がそのとき。すべての当事者の最優先事項とすべきセキュリティ開発• 国際標準化機構 (ISO) と国際電気標準会議 (IEC) は、セキュリティ開発
プロセスに関する標準が必要であると認識し、ISO/IEC 27034-1を公開しました。この新しい国際標準は、包括的なソフトウェア セキュリ
ティ プログラムの構築に必要なプロセスとフレームワークに焦点を当てた初めての標準です。ISO/IEC 27034-1 は、セキュリティを正しい⽅向に向かわせる重要な⼀歩であり、組織に多くの可能性をもたらします。
マイクロソフトはセキュリティ開発におけるこの重要なマイルストーンを認識し、本⽇、適合宣⾔を通じて、マイクロソフトの SDL が ISO
27034-1 に適合していることを発表しました。この標準に公に適合することによって、マイクロソフトが、セキュリティ開発に専⼼しようとする他の企業の⾒本となることを願っています。
• ソフトウェアを開発または販売する企業にとって、この標準は、セキュリティ開発
プラクティスの共通の評価⾔語を提供し、セキュリティ開発フレームワークを導⼊するための単純明快な概要を⽰し、市場で競争⼒を持つための差別化要因となります。
• ベンダーからソフトウェアやサービスを購⼊するお客様にとって、この標準は、業界、プラットフォーム、地域全体でのセキュリティ開発を要求する購⼊者の単⼀の「⾔語」を提供します。
http://blogs.technet.com/b/jpsecurity/archive/2014/07/31/the‐time‐is‐now‐security‐development‐must‐be‐a‐priority‐for‐everyone.aspx

12いかにしてSDLにたどり着いたのか

13

Windows Products and Security
2008

2007

2006

•Win XP SP2•Win Server 2003

•Win Vista•Win Server 2008

• Blog•

INN/phf• statd,named,popd• Netcat• First SPAM
• Concept• Virus Creation Laboratory

•

YouTu
•Windows mySpa
NT 3.1 が最初のマルチユーザー•
beceＯＳとなるSkype•
Slammer• CodeRed•以下の項目に対して、特に配慮して設計• Blaster• Nimdaされた• Sasser•ＯＳはシングルユーザであった
Yahoo
•eBay
•このため、セキュリティ管理に対する• Ping ofDeath
要求はほとんどなかった••セキュリティ上の脅威への取り組み•ユーザーを他のユーザーから守る• Brown orifice• Agobot • WiityWorm• Back Orifice•アプリケーションを他のアプリケーション• DDoS on DNS root
• Targeted Attack•DDoS tools
から守る• Attacks for• Yahoo• SPAM Mails•プロセスを他のプロセスから守る• Phishing JP SoftDDoS
• Spyware
proliferated• Sobig• Melissa• MyDoom• I LOVE YOU• SolarSunrise• Michelangelo•NetSky•Bagle• Huge Data Leak
• JP Gov. HP• Winny• テレホーダイ

Worm in the wild
Virus via Media• ADSL• Winny Incident• mixiWorm communization
Virus via E-Mail

Protocol Weaknesses/Remote Buffer overflow
Computer Crimes

2005•Win XP•Win 2000•Mac OS-X• MOSAIC•Internet Explorer• Netscape • JavaScript•• Real Player
PDF•• Amazon
Google•• AT&T Janes
•IIJ

2004

2003

• NT 4.0• Net BSD
•Free BSD
•NetWare• Little Black Book

2002

•NT3.1• Java• LinuxBroad band Network• Windows 95 • Windows 98• Windows 3.0

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet

Cyber Crimes

Document / Local BO

14Windows Products and Security: 1998年以前
2008• Net BSD
•Free BSD
•NetWare

2007

2006

2005

2004

2003

Broad band Network•Win XP SP2• Windows • Windows 98•Win XP95•Win Server 2003
• NT
•Win 2000
4.0•Mac OS-X•NT3.1• Java• Linux

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows 3.0•Win Vista•Win Server 2008

ADHOC /Product/Marketing

各製品チームが個別に対応していた …
コミュニケーション、対策のリリース
Windowsマーケティング部門が対応していた …
脆弱性に関するメディアや報道関係•Internet Explorer• MOSAIC• Netscape • JavaScript•• Real Player
PDF• Amazon• Google• Yahoo•eBay• Ping of Death• INN/phf• Netcat• FirstSPAM•
Concept• Virus Creation Laboratory• Little Black Book

• Michelangelo• AT&T Janes•IIJ• テレホーダイ• Blog• mySpace • YouTube• Skype• CodeRed • Slammer• Blaster• Nimda• Sasser•statd,named,popd• Targeted Attack• Brown orifice• Agobot • WiityWorm• Back• Attacks for JP Soft
Orifice•DDoS tools• DDoS on DNS root
• Phishing proliferated• Yahoo• SPAM Mails• Huge Data Leak
DDoS
• Spyware• MyDoom• Sobig•NetSky• Melissaz• JP Gov. HP• Winny•Bagle• I LOVE• SolarSunrise• ADSL• Winny Incident
YOU

Worm in the wild
Virus via Media• mixiWorm communization
Virus via E-Mail

Protocol Weaknesses/Remote Buffer overflow
Computer Crimes

Document / Local BO

Cyber Crimes

15

Windows Products and Security:1990年代中頃
2008

2007

2006

•Win XP SP2•Win 2000•Win Server 2003

インターネットの発展• Yahoo•eBay• Google• Ping ofDeath•
INN/phf• Netcat• First SPAM
• Concept• Virus Creation Laboratory• Michelangelo• テレホーダイ

Worm in the wild
Virus via Media•Win Vista•Win Server 2008

•脆弱性の発見と公表が日常的に行われるようになる.
•攻撃コードが公開され、これによる事件が発生するようになる。 (Script Kiddy)•Internet• MOSAIC
Explorer• Netscape ••• RealJavaScript
PDF
Player• Amazon• Blog• mySpace •
YouTu
•
be
Skype
• CodeRed • Slammer• Blaster• Nimda• Sasser•statd,named,popd

この傾向は一時的なものはないと判断• Brown orifice• Agobot • WiityWorm• Back Orifice• DDoS on DNS root
• Targeted Attack•DDoS tools• Attacks for• Yahoo DDoS
• SPAM Mails• Phishing JP Soft• Spyware• Melissaz
proliferated• Huge Data Leak
• Sobig• SolarSunrise• MyDoom•
Winny• JP Gov. HP••NetSky• I LOVE YOU Winn
Incident•Bagle• ADSL• mixiy

Microsoft は、これに対応するため、いくつかのステップを実施した。

Worm communization
Virus via E-Mail

Protocol Weaknesses/Remote Buffer overflow
Computer Crimes

2005•Win XP•Mac OS-X

ADHOC /Product/Marketing• AT&T Janes
•IIJ

2004

• NT 4.0• Net BSD
•Free BSD
•NetWare• Little Black Book

2003

•NT3.1• Linux•
Java

Broad band Network• Windows 95 • Windows 98• Windows 3.0

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet

Cyber Crimes

Document / Local BO

16SANS: 最も重要なインターネット上の脅威
The Top 10 Most Critical Internet Security Threats (2000-2001)

1

BIND weaknesses: nxt, qinv and in.named allow immediate root compromise.

2

Vulnerable CGI programs and application extensions (e.g., ColdFusion) installed
on web servers

3

Remote Procedure Call (RPC) weaknesses in rpc.ttdbserverd (ToolTalk), rpc.cmsd(Calendar Manager), and rpc.statd that allow immediate root compromise

4

RDS security hole in the Microsoft Internet Information Server (IIS)

5

Sendmail and MIME buffer overflows as well as pipe attacks that allow
immediate root compromise

6

sadmind and mountd

7

Global file sharing and inappropriate information sharing via NetBIOS andWindows NT ports 135‐>139 (445 in Windows2000), or UNIX NFS exports on
port 2049, or Macintosh Web sharing or AppleShare/IP on ports 80, 427, and548

8

User IDs, especially root/administrator with no passwords or weak passwords

9

IMAP and POP buffer overflow vulnerabilities or incorrect configuration

10 Default SNMP community strings set to ‘public’ and ‘private.’
http://www.sans.org/top20/2000/?portal=4f796007065f1ff4653df218233783ff

17

Windows Products and Security: 最初のステップ
2008

2007

• Ping ofDeath•
INN/phf• First SPAM
• Concept• Virus Creation Laboratory• Michelangelo• テレホーダイ

Worm in the wild
Virus via Media•Win Server 2008

•脆弱性発生の本質的な原因の調査を実施し、改善するための方策を推奨• Blog• mySpace •事項としてまとめる
YouTu
•
Skype

• CodeRed• Nimda•statd,named,popd

be• Slammer• Blaster• Sasser• Brown orifice• Agobot • WiityWorm• BackOrifice•DDoS tools• DDoS on DNS root
• Targeted Attack
・経営陣の関与、技術者の啓発と教育• Attacks for• Yahoo• SPAM Mails
Soft• Phishing JP
modeling、Codereview,
Security
DDoS ・Threat• Spyware
proliferated• Huge Data Leaktesting,• Melissa• MyDoom• Sobig•security
Winny response process• JP Gov.
HP•
・Post‐release• SolarSunrise•NetSky• I LOVE YOU Winn
Incident•Bagle・独立したセキュリティチーム、•mixi
y• ADSL

Protocol Weaknesses/Remote Buffer overflow
Cyber Crimes•Win VistaInternal Security Task Force• Google• Netcat

Computer Crimes

2006•脆弱性を受け付けるe‐mailアドレス
secure@microsoft.com•
Yahoo•アップデートリリースの一本化 •eBay
www.microsoft.com/security•セキュリティに関するメディア対応

STF•Internet• MOSAIC
Explorer• Netscape ••• RealJavaScript
PDF
Player• Amazon•Win XP SP2•Win Server 2003

MSRC (secure@microsoft.com)•NetWare• AT&T Janes
•IIJ

2005

•Win
XP
•Win 2000•Mac OS-X• Net BSD

• Little Black Book

2004

• NT 4.0•Free BSDADHOC /Product/Marketing

MSRCの設立

2003• Linux•
Java

Broad band Network• Windows 95 • Windows 98•NT3.1

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows 3.0

STF 推奨事項

・バグバーの設置、トラッキングと共有
Wormcommunization
Virus via E-Mail
Document / Local BO18

過去のセキュリティ更新情報の検索

http://technet.microsoft.com/en‐us/security/dn481339

19

過去の全てのセキュリティ更新情報

20

Windows Products and Security: Windows 2000

Security issues were
SHIP
•Win
Vista
STOPPER •Win Server

多数のセキュリティ機能を実装•NT3.1
しかし、増加するバグレポート
• Net
BSD
ADHOC /Product/Marketingが大きな問題となっていた•Free• Google• Ping ofDeath•
INN/phf

Pen‐Test teamの設立• First•独立した検査チーム
SPAM••コードのチェックと、Pen‐Testを• Little Black Book
Concept
実施 • Virus Creation Laboratory• Michelangelo• テレホーダイ

Worm in the wild
Virus via Media• Skype• Slammer
PREfixの導入• CodeRed• NimdaPREfix• Netcat• Blog• mySpace • YouTube

Pen‐
test

•製品部門への教育と•Yahoo•設計とコードのレビュー•eBay•問題の修正SWI(Secure Windows Initiative)
W2K

SWIの設立2008

MSRC (secure@microsoft.com)

STF

BSD
•Internet• MOSAIC•NetWaExplorerre• Netscape ••• RealJavaScript
PDF
Player• Amazon• AT&T Janes
•IIJ

2008

2007

2006

2005

Broad band Network•Win XP• Windows • Windows 98
•Win
SP2
95
XP
•Win Server• NT•Win 2000
2003
4.0•Mac OS-X• Linux•Java•
statd,named,popd• Blaster•自動化された、BRを見つける為のツール• Sasser• Brown orifice• Agobot • WiityWorm• BackOrifice•DDoS tools• DDoS on DNS root
• Targeted Attack• Attacks for• Yahoo DDoS
• SPAM Mails• Phishing JP Soft
ある程度のセキュリティの向上を図ることができた• Spyware proliferated• Melissa• Huge Data
Leak
“SHHIP‐STOPPER”
は、経営陣の目に見えるコミット• JP Gov. HP• Sobig• MyDoom••
Winny
メントとして有効だった•NetSky• SolarSunrise• I LOVE YOU Winn
Incident•Bagle•SWIは、Windows全体を見るには、小さすぎた• mixi
y
ADSL

結果の評価

Worm communization
Virus via E-Mail

Protocol Weaknesses/Remote Buffer overflow
Computer Crimes

2004

2003

Windows 2000

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows
3.0

Document / Local BO

Cyber Crimes

21

Windows Products and Security: Windows XP
2008

2007

2006

2005

2004

Broad band Network

Security issues were
SHIP
•Win
Vista
STOPPER •Win Server•Win XP• Windows • Windows 98 •Win XP
SP295•Win Server• NT•Win 2000
2003
4.0•Mac OS-X•NT3.1
さらなる、効果的な取り組みが• Linux•必要とされたsecurity.
• Net

BSD
ADHOC /Product/Marketing

Java

2003

Windows XP

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows
3.0

SWI(Secure Windows Initiative)
XP
発見と修正の記録
コードレビューと検査を続けるとともに、• Blog•
•
YouTu
mySpa
修正が確実に行われるように、発見と•
bece
記録を徹底した。
Skype

Pen‐
test
PREfix•技術者の支援を中心に移行•Yahoo•魚（脆弱性）を釣る代わりに、•eBay• Ping•of
魚の釣り方を教える
Death•
Google•“Security Days” “bug bashes”: INN/phf
これを、確実に実施するための施策• Netcat

W2K

確実なセキュリティの向上の
ため…

STF

•Free
BSD
•Internet• MOSAIC•NetWaExplorerre• Netscape ••• RealJavaScript
PDF
Player• Amazon• CodeRed• Nimda• Slammer• Blaster• Sasser•statd,named,popd

Back
SPAM
Security Day/ Bug bash •OrificePREfirst,
二つ目のツール• WiityWorm• Brown orifice• Agobot

PREfast• First2008

MSRC (secure@microsoft.com)

モジュール単位での発見に優れた、•• Little Black Book
2~4時間のセキュリティトレーニングでConcept
PREFirstの開発と導入• Virus Creation Laboratory
始まり、その日の復習で終了する。
• Michelangelo
コードのレビューを行い、ペネトレー
ションテスト（侵入テスト）や、その他の• AT&T• テレホーダJanesイ
セキュリティテストを指導する。する、•IIJ
Worm in the wild
Worm communizationL“最高のセキュリティバグ賞”等を設置し、Virus via E-Mail
Virus via Media表彰を行う。
Protocol Weaknesses/Remote Buffer overflow
Document / Local BO• DDoS on DNS root
• Targeted Attack• Attacks for• Yahoo DDoS
• SPAM Mails• Phishing JP Soft• Spyware
proliferated• Huge Data Leak
• Melissa• Sobig• MyDoom• Winny• JP Gov. ••NetSky•HP
I LOVE• SolarSunrise
Winn
Incident•Bagle•YOU• mixiy
ADS•DDoS tools

Computer Crimes

Cyber Crimes

22Windows Products and Security: Worms and TwC
2008

2007

2006

2005

•Win Server 2003

•Win Server 2008

.NET

XP

Security

Pen‐
test

• Blog• mySpace • YouTube• Skype• CodeRed • Slammer• Blaster• Nimda• Sasser•statd,named,popd

Push

PREfix• Brown orifice• Agobot • WiityWorm• BackOrifice•DDoS tools• DDoS on DNS root
• Targeted Attack• Attacks for• Yahoo DDoS
• SPAM Mails• Phishing JP Soft• Spyware proliferated• Huge Data Leak
• Melissa• JP Gov. HP• Sobig• MyDoom• SolarSunrise
•
•
Winny
•NetSky
Winn
Incident•Bagle• ADSL• mixi• I LOVE YOU y

Protocol Weaknesses/Remote Buffer overflow

PREfast• テレホーダイ

Worm in the wild
Virus via Media

W2K

STF

INN/phf

SPAM
TwCのラウンチ前に、.NET
Frameworkに•対するセキュリティプッシュを実施.
• Little Black Book
Concept• Virus Creation Laboratory
開発を停止し、すべてのエンジニアを• Michelangelo
Security Pushへ投入•Win 2000

•Win
Vista

SWI(Secure Windows Initiative)

根本的に、Microsoft製品のセキュリティと品質を向上させるための取り組み••
セキュリティとプライバシーに取り組み
Yahoo
Google•eBay
ため、2002年にビル・ゲーツのメールで• Ping of
Death
•
ラウンチ

First Security Push .NET
framework• First•Win XP SP2MSRC (secure@microsoft.com)

Trustworthy Computing initiative• Netcat•Win XP•Mac OS-X

ADHOC /Product/Marketing

Computer Crimes

2004• NT 4.0

• Net
BSD
•Free
BSD
•Internet• MOSAIC•NetWaExplorerre• Netscape ••• RealJavaScript
PDF
Player• Amazon• AT&T Janes
•IIJ

2003

Broad band Network• Windows 95• Windows 98•NT3.1• Linux
•
Java

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows 3.0(Trustworthy
ResultTwCof thisefforts Computing)

多数の問題を出荷前に対応
極めて防御的な機構をLRTとWorm communization
Virus via E-Mail
Microsoft ASP.NETに実装

Document / Local BO

Cyber Crimes

23

毎週⽔曜更新へ 2002年5⽉

毎週⽕曜にまとめて公開逐次公開

24Windows Products and Security: Windows Server 2003
2008

2007

2006

2005

2004

2008

GooglePen‐
test

Ping•of
開発を停止し、Security Pushを実施 •Death
•

2003
.NET

•
Yahoo
•eBay

XP

• Amazon

2003

SWI(Secure Windows Initiative)
W2K

Explorer• Netscape •• RealJavaScript
Player•Mac OS-X

MSRC (secure@microsoft.com)

STF

•
PDF

2003

Security
issues were
SHIP
•Win XP•Win
SP2 STOPPER
Vista•Win Server•Win Server•Win 2000•Win XP•予定された出荷日間近であった• Linux•• Net•.NETと比較して10倍の規模であった
Java
BSD
ADHOC /Product/Marketing•Free•古いコードを多く含んでいた
BSD•Internet• MOSAIC•NetWa•互換性の確保が必要だった
re

2002

Broad band Network• Windows • Windows
95
98
• NT
4.0

Windows Server 2003 のチャレンジ•NT3.1

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows
3.0• Blog• mySpace • YouTube• Virus Creation Laboratory• Michelangelo• AT&T Janes•IIJ• Yahoo
DDoS• SPAM Mails• Phishing JP Soft• Spyware proliferated• Huge Data Leak
• Melissa• Sobig• MyDoom•
Winny• JP Gov. HP••NetSky• I LOVE• SolarSunrise
Winn
Incident•Bagle• ADSLYOU• mixiy

TwC (Trustworthy Computing)• テレホーダイ

Worm in the wild
Virus via Media

Protocol Weaknesses/Remote Buffer overflow
Computer Crimes

Security Push
+ Final Security Review
PREfastPREfix• Skype
INN/phf•8500人に及ぶ技術者へのトレーニングの実施•脅威モデルに基づく分析と、分析に基づく設計• CodeRed • Slammer• Blaster• Nimda変更• Netcat• Sasser•静的検査ツールの適用 （PREfix, PREfast等）、•statd,named,popd
コードレビューの実施• Brown orifice• First• Agobot • WiityWorm• Back•バッドパラメータを使った、セキュリティテストのSPAM
Orifice•DDoS tools•
DDoS on DNS root
• Targeted Attack•
実施と、ペネトレーションテストの実施• Little Black Book
• Attacks forConcept

Result of this efforts

成功裏に終えることができた
Worm
communization
Virus via E-Mail新たなMicrosoftの標準となった
Document / Local BO

Cyber Crimes

25

毎⽉第2⽕曜へ 2003年11⽉
第2⽕曜
緊急リリース
第2⽕曜

毎週⽔曜

26

Windows Products and Security: never end story
2008

2007

2006

2005

Broad band Network• Windows
95
• NT
4.0

•Ad hoc から、エンジニアリングプロセスへ• Linux•• Net•以下のすべての製品は、SDLを適用しなければ
Java
BSD
ADHOC /Product/Marketing
•Free
ならない
BSD

• Windows
98•Win Server 2008

OF 2003
SQL 2K 3
EXC 2K-3
Etc..

XP• Blog•
mySpa
•
ce
Skype

PREfixSecurity Push
+ Final Security Review

Pen‐
test

•
YouTu
be

SDL
Security Development• CodeRed • Slammer• Blaster• NimdaLifecycle• Sasser•statd,named,popd• Brown orifice• Agobot • WiityWorm• BackOrifice•DDoS tools• DDoS on DNS root
• Targeted Attack• Attacks for• Yahoo DDoS
• SPAM Mails• Phishing JP Soft• Spyware
proliferated• Huge Data Leak
• Melissa• MyDoom• Sobig•
Winny• JP Gov. HP• Winny•NetSky• I LOVE• SolarSunrise
Incident•Bagle• ADSLYOU• mixiWorm in the wild
Virus via Media

Protocol Weaknesses/Remote Buffer overflow

PREfast•IIJ•Win Server 2003

2003
.NET

W2K

• First•2004年7月1日に施行
SPAM•半数以上の技術者がトレーニングを実施•• Little Black Book
Concept•正式なSDLの要求事項が、社内の公式WEB• Virus Creation Laboratory
サイトに登録• Michelangelo•年に二回のペースで、SDL自体を更新• AT&T• テレホーダ（現在は、4.0）
Janes
イ•Win 2000•Win Vista

SWI(Secure Windows Initiative)

STF

SDL (version 2.0)

•Win XP SP2MSRC (secure@microsoft.com)•
Death• INN/phf
Google• Netcat•Win XP•Mac OS-X•Internet• MOSAIC•NetWa•日常的に、企業、政府、その他で利用される
Explorerre• Netscape •プログラム。
•• RealJavaScript•日常的に、個人情報や他のセンシティブな情報
PDF
Player• Amazonを•扱うプログラム
Yahoo•eBay•日常的に、インターネットに接続するプログラム• Ping ofComputer Crimes

2004•NT3.1

2003

より、確実に効果的に行うため

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Client-server/PC-LANInternet• Windows
3.0

TwC (Trustworthy Computing)Worm communization
Virus via E-Mail
Document / Local BO

Cyber Crimes

27

SDLに関して学んだこと• セキュリティテストは、重要な要素だが、⼗分ではない• セキュアコーディングは、重要な要素だが、⼗分ではない• 脅威分析は、重要な要素だが、⼗分ではない• エンジニアの啓発とトレーニングは、重要な要素だが、⼗分ではない• 経営陣のコミットメントは重要な要素だが、⼗分ではない• これらのすべては、個別に実施していたのでは効果的ではない• 必要とされる要素を、効果的かつ安定したエンジニアリングとしてプロセスとする必要がある。
• 具体的な⼿法については、最初のページ “Security
Development Lifecycle Overview” を⾒てください28マイクロソフトの深刻度評価システム
悪⽤可能性指標

セキュリティ情報の深刻度評価システム
価

定義

緊急
ユーザーの操作なしでコード実⾏の悪⽤が⾏われる可能性のある(Critical) 脆弱性です。これらのシナリオには、⾃⼰増殖性のマルウェア（例：ネットワーク ワーム）、もしくは、警告やプロンプトが表⽰されずにコード実⾏が起こる、避けることのできない⼀般的なシナリオなどが含まれます。Web ページを閲覧する、あるいは、メールを開ける可能性があるということを意味します。
マイクロソフトは、お客様が緊急の更新プログラムを早急に適⽤することを推奨します。

Exploitability
Indexの評価

簡単な定義

1

悪⽤コードの可能性*

2

悪⽤コードの作成困難**3

悪⽤コードの可能性低**** 以前の定義: 安定した悪⽤コードの可能性** 以前の定義: 不安定な悪⽤コードの可能性*** 以前の定義: 機能する⾒込みのない悪⽤コード

重要
この脆弱性が悪⽤された場合、ユーザー データの機密性、完全(Important) 性または可⽤性が侵害される可能性があります。または、処理中のリソースの完全性または可⽤性が侵害される可能性があります。 サービス拒
これらのシナリオには、クライアントが、プロンプトの出所、否の悪⽤可品質、あるいはユーザビリティに関わらず、表⽰された警告や能性の評価
プロンプトを受け⼊れるという⼀般的に使⽤されるシナリオが含まれます。プロンプト、もしくは警告を⽣成しない⼀連のユーザー アクションも網羅されています。
マイクロソフトは、お客様が重要な更新プログラムをできる限り
早く、適⽤することを推奨します。
⼀時的警告
脆弱性の影響は、認証要件、または、⾮デフォルト設定に対して(Moderate) のみ適⽤性があるなどの要素によって、⼤幅に緩和されます。
マイクロソフトは、お客様がセキュリティ更新プログラムを適⽤することを検討することを推奨します。
注意
(Low)

脆弱性の影響は、影響を受けるコンポーネントの特性によって、包括的に緩和されます。マイクロソフトは、お客様が影響を受けるシステムに対してセキュリティ更新プログラムを適⽤するか否か判断することを推奨します。

セキュリティ情報の深刻度評価システム
http://technet.microsoft.com/ja-jp/security/gg309177.aspx

永続的定義
この脆弱性が悪⽤されると、攻撃が停⽌される、または想定外に停⽌して、⾃動的に回復するまでオペレーティング シス
テムまたはアプリケーションが⼀時的に応答しなくなる可能性があります。攻撃が終了するとすぐに、標的の機能性が通常レベルに戻ります
この脆弱性が悪⽤されると、⼿動で再起動する、または⾃動的に回復せずに想定外に停⽌するまで、オペレーティング
システムまたはアプリケーションが永続的に応答しなくなる可能性があります。

Microsoft Exploitability Index (悪⽤可能性指標)
http://technet.microsoft.com/ja-jp/security/cc998259

29

脆弱性対応プロセス30

セキュリティ更新公開までの期間 - イメージ図

ゼロデイ

31

関連組織との連携
セキュリティ
研究者

＠マイクロソフト• マルウエアの収集・解析（世界 5 箇所の MMPC ラボ）• 1 ⽇当たり 15 万ウイルス検体• 感染データなどに基づいた脅威観測および解析• 1 ⽇当たり 1500 万テレメトリ観測

CSIRT(Ex. JPCERT/CC)

セキュリティ
企業
SCP
MAPP
ハッカーサイト等
エラー情報
顧客対応など各国政府機関各国法執⾏機関

セキュリティ更新
プログラム

更新プログラム
関連情報

マイクロソフト
GSP

Cyber
Crime
Center

GIAIS

ISP

マイクロソフト社
セキュリティ製品の対応

Smart Screen

32標準的な脆弱性への対応プロセス
公開情報を分析し、脆弱性を探し、攻撃コードが開発されるため、公表されたら、更新
プログラム適⽤までの時間を、短くすることが重要
脆弱性の発⾒

脆弱性の公表更新プログラム配信

更新プログラム適⽤

通常のケース
MAPPによる情報提供

MAPP

Microsoft Active Protection Program
セキュリティ更新プログラムを公開前に、脆弱性に関する詳細な情報を、セキュリ
ティ関連企業に通知することで、更新プロ
グラム公開と同時に、セキュリティソフト
による利⽤者の保護を⾏うための取り組み

セキュリティ製品による保護が期待できる

セキュリティ ベンダーから対策の提供（パターンファイルの更新等）

ゼロデイのケース

攻撃と未知の脆弱性の発⾒（ゼロデイ） 回避策の 回避策の 脆弱性の公表
公表
適⽤ 更新プログラム配信

33

公開情報を分析し、脆弱性を探し、攻撃コードが開発されるため、公表されたら、更新プログラム適⽤までの時間を、短くすることが重要更新プログラム適⽤

ゼロデイ
のケース
MAPP への通知
セキュリティ
製品への反映攻撃の状況について、様々な⼿法でモニターをし、常に状況の把握に努める

セキュリティ製品による保護が期待できる

回避策により、攻撃を防ぐことができる
34

Microsoft Active Protections Program(MAPP)• MAPP for Security Vendors• 現⾏のMAPPプログラムに、セキュリティ更新プログラムを事前に評価を提供するMAPP Validationを追加• 公表前⽇から３⽇前に情報を提供するように変更• MAPPに参加したばかりのベンダーは、これまで通り１⽇前に提供• MAPP for Responders• 技術的な脅威情報（悪意のあるURL、ファイルハッシュ、
検知ガイダンス）と、傾向などを含んだより⼀般的な情報を共有するメカニズム• MAPP Scanner• Officeドキュメント、PDFファイル、URLに対するコンテンツベースの攻撃をスキャンするクラウドベースのサービス• 静的な解析に加えて、脆弱性の利⽤についての分析も⾏う• 新しい攻撃を早期に発⾒することにつながることを期待
35

MAPP Partners with Updated Protections

https://technet.microsoft.com/en‐us/security/dn568129.aspx http://blog.f‐secure.jp/archives/50427829.html

36

SDL詳細37

SDLの具体的なフェーズと項⽬
Training

トレーニングRequirements
要件定義

2. セキュリ
ティとプラ
イバシー要
件の規定

1. 基本
セキュリティ
トレーニング3. 品質基準とバグバーの作成
4. セキュリ
ティと
プライバ
シーに関す
るアセスメ
ントの実施

DesignImplementation実装

5. 設計要件の規定

8. 認定された
ツールの
使⽤

設計

6. アタック
サーフェス
分析と、軽
減策の実施
7. 脅威モデルの利⽤

9. 安全性の低い関数の使⽤禁⽌
10. 静的分析の実施

Verification
検査11. 動的分析の実施
12. ファジング
の実施
13 アタック
サーフェス・
レビューの実施

Release

出荷

Response

出荷後の対応

14. インシデント
対応計画の策定
15. 最終セキュ
リティ
レビューの
実施

インシデント
対応計画の実施

16. 出荷承認と記録

SDL Process: http://www.microsoft.com/security/sdl/process/training.aspx
38

SDL Practice #1: (トレーニング)
基本セキュリティトレーニング• 概要• SDLを実装するためには基本セキュ
リティトレーニングが不可⽋で、セキュアな設計、脅威モデル、セキュア・コーディング、セキュリ
ティテスト、プライバシーに関する
ベストプラクティスなどで構成される、より良いソフトウェアを開発するための基礎となります。

• 実施時期• ソフトウェア開発チーム（開発者、検査担当者、プログラムマネージャー）は、⼀年に⼀度は何らかの
トレーニングクラスに参加する必要があります。
• 各開発フェーズに対して推奨される
トレーニングは以下のリストを参照
してください。

• SDLの導⼊トレーニング••

Introduction to Microsoft SDL

マイクロソフトSDLを実施するために必要なトレーニング•

Essential Software Security Training for the Microsoft SDL

ソフトウェア開発におけるプライバシー•

Privacy in Software Development• 設計フェーズ
•セキュア設な設計、開発、テストの基本••

Basics of Secure Design, Development and
Test

マイクロソフト脅威モデルの紹介•

Introduction to Microsoft SDL Threat
Modeling•

SDLクイックセキュリティリファレンス•

開発者向けのSDLスターターキット•

SDL Quick Security References•

SDL Developer Starter Kit• 実装フェーズ
•セキュア設な設計、開発、テストの基本•

Basics of Secure Design, Development and
Test•

SDLクイックセキュリティリファレンス•

開発者向けのSDLスターターキット•

SDL Quick Security References•

SDL Developer Starter Kit• 検査フェーズ
•マイクロソフト SDLの紹介••• 要求定義フェーズ

セキュア設な設計、開発、テストの基本•

Basics of Secure Design, Development and
Test•

SDLクイックセキュリティリファレンス•

開発者向けのSDLスターターキット•

SDL Quick Security References•

SDL Developer Starter Kit

39

SDL Practice #2: (要件定義)
セキュリティとプライバシー要件の規定• 概要• Reference• 最初にセキュリティとプライ
バシーの許容最低レベルを定義することは、チームメンバーに対して、セキュリティに係るリスクの理解、開発段階での識別と修正、常に標準を遵守する上での助けとなります。
• 合理的なバグバーの設定は、脆弱性に対する明⽰的な深刻度
レベル（緊急、重要等）が必要です。ここで設定した基準は、後⼯程で下げない事が重要です。

•

•

•

• 伝統的なソフトウェア開発• 要求定義フェーズ

サンプル

SDL Security Bug Bar Sample• Downloads•

Microsoft SDL の簡単な実装•• Tools•

Simplified Implementation of theMicrosoft SDL

Microsoft Team Foundation Server 2010へのセキュリティバグバーの追加•

Add a Security Bug Bar to Microsoft
Team Foundation Server 2010

テンプレート：SDL除外申請•• 実施時期サンプル

SDL Privacy Bug Bar Sample

SDLセキュリティ：バグバー•••

SDLプライバシー・バグバー

Template: SDL Exception Request• Training•

ソフトウェア開発におけるプライバシー•

Privacy in Software Development

アジャイル開発•

⼀度（One Time）

40

SDL Practice #3: (要件定義)
品質基準とバグバーの作成• 概要• Reference• 最初にセキュリティとプライ
バシーの許容最低レベルを定義することは、チームメンバーに対して、セキュリティに係るリスクの理解、開発段階での識別と修正、常に標準を遵守する上での助けとなります。
• 合理的なバグバーの設定は、脆弱性に対する明⽰的な深刻度
レベル（緊急、重要等）が必要です。ここで設定した基準は、後⼯程で下げない事が重要です。

•

•

•

• 伝統的なソフトウェア開発

サンプル

SDL Security Bug Bar Sample• Downloads•

Microsoft SDL の簡単な実装•• Tools•

Simplified Implementation of theMicrosoft SDL

Microsoft Team Foundation Server 2010へのセキュリティバグバーの追加•

Add a Security Bug Bar to Microsoft
Team Foundation Server 2010

テンプレート：SDL除外申請•• 実施時期サンプル

SDL Privacy Bug Bar Sample

SDLセキュリティ：バグバー••

Template: SDL Exception Request• Training•• 要求定義フェーズ•

SDLプライバシー・バグバー

ソフトウェア開発におけるプライバシー•

Privacy in Software Development

アジャイル開発•

⼀度（One Time）

41

SDL Practice #4: (要件定義)
セキュリティとプライバシーに関するアセスメントの実施• 概要• Reference• ソフトウェア設計を、コストと規定の順守性に基づいて検討することは、出荷前に脅威分析とセキュリティ設計レビューを必要とするフェーズ、製品やサービスに対するプライバシーに関するインパクト評価を⾏う
上で助けになります。

•

•

•

• 要求定義フェーズ•

アジャイル開発•

⼀度（One Time）

Microsoft SDL の簡単な実装••

Simplified Implementation of theMicrosoft SDL

SDL最適化モデル••• 伝統的なソフトウェア開発

SDL Privacy Questionnaire Sample• Downloads• Tools• 実施時期

SDLプライバシーアンケート サンプル

セルフアセスメントガイド

SDL Optimization Model SelfAssessment Guide

セキュリティリスク評価•

Security Risk Assessment• Training•

ソフトウェア開発におけるプライバシー•

Privacy in Software Development

42

SDL Practice #5: (設計)設計要件の規定• 概要•• 早期にセキュリティとプライ
バシーに関わる懸念事項に取り組むことは、スケジュールの混乱を最⼩限にし、プロジェ
クトのコストを減少させます。
• 設計が機能要件に対して、正確で完全であることを検証し、暗号強度や各定義がレビューされていることも検証します。

Reference•

ファイアウォールルールと要件•

暗号に関する柔軟性（Agility）•

アプリケーションのセキュリティ保証の⽂書化と評価•

アジャイル開発

Documenting And Evaluating The Security
Guarantees Of Your Apps••

Downloads•

セキュアな設計、開発、検査の基本•• 実施時期• 設計フェーズ

Cryptographic Agility•

ソフトウェア開発におけるプライバシー•

ソフトウェア製品とサービスのためのプライバシーガイドライン
•

•

Tools

•

Training•• ⼀度（One Time）

Basics of Secure Design, Development and
Test

•

•

• 伝統的なソフトウェア開発

Firewall Rules and Requirements•

Introduction to Microsoft SDL Threat
Modeling

SDL

セキュリティに関するクイックリファレンス

SDL

開発者向けスターターキット••

Basics of Secure Design, Development and
Test

マイクロソフト脅威分析の紹介••

Privacy Guidelines for Developing Software
Products and Services

セキュアな設計、開発、検査の基本••

Privacy in Software Development•

SDL Quick Security References
SDL Developer Starter Kit

43

SDL Practice #6: (設計)
アタックサーフェス分析と、軽減策の実施• 概要•• 攻撃者が、潜在的な弱点や脆弱性を攻撃する機会を低下させる
ために、アタックサーフェス全
般に対する完全な分析と、シス
テムサービスへのアクセスを無効または限定すること、最⼩権限の原則を適⽤すること、多層防御を適⽤することが必要です。

Reference
•

•

•

•

•

アジャイル開発

⼀度（One Time）

•

Tools

•

Training

SDL••

Basics of Secure Design, Development and
Test

マイクロソフト脅威分析の紹介••

Mitigate Security Risks by Minimizing theCode You Expose to Untrusted Users

セキュアな設計、開発、検査の基本••

Fending Off Future Attacks by Reducing
Attack Surface

信頼できない利⽤者が利⽤可能なコードを最⼩限にすることで、セキュリティリスクを軽減する••

SDL Developer Starter Kit - Secure Design
Principles

アタックサーフェスを減らすことにより将来の攻撃を避ける•• 設計フェーズ
•SDL開発者向けスターターキット セキュア設計基準•• 伝統的なソフトウェア開発

Mitigate Security Risks by Minimizing theCode You Expose to Untrusted Users

Downloads•• 実施時期Fending Off Future Attacks by Reducing
Attack Surface

信頼できない利⽤者が利⽤可能なコードを最⼩限にすることで、セキュリティリスクを軽減する•••

アタックサーフェスを減らすことにより将来の攻撃
を避ける

SDL
•

Introduction to Microsoft SDL Threat
Modeling

セキュリティに関するクイックリファレンス
SDL Quick Security References

開発者向けスターターキット
SDL Developer Starter Kit

44

SDL Practice #7: (設計)脅威モデルの利⽤• 概要•• 設計時に脅威シナリオに対する
構造的なアプローチを適⽤する
ことは、チームがより効果的かつ容易に脆弱性を識別し、脅威によるリスクを判断し、適切な対策の実施を助けます。

Reference•

STRIDアプローチによるセキュリティ設計上の問題点の発⾒

•Downloads•

SDL脅威モデルの紹介•

SDL開発者向けスターターキット 脅威モデル
規定と、脅威モデルツール規定••• 実施時期• 伝統的なソフトウェア開発• 設計フェーズ

•

•

Tools

•

Video
•

アジャイル開発•

全てのスプリント（ Every
Sprint ）Uncover Security Design Flaws Using the
STRIDE Approach

•

SDL

•

•

SDL Developer Starter Kit – Threat Modeling
Principles, and Threat Modeling Tool
Principles

脅威モデル

SDL Threat Modeling

脅威モデルツール••

Introduction to SDL Threat Modeling2014

Threat Modeling Tool 2014

Training•

セキュアな設計、開発、検査の基本••

マイクロソフト脅威分析の紹介••

Introduction to Microsoft SDL Threat
Modeling

SDL

セキュリティに関するクイックリファレンス

SDL

開発者向けスターターキット••

Basics of Secure Design, Development and
Test•

SDL Quick Security References
SDL Developer Starter Kit

45

SDL Practice #8: (実装)認定されたツールの使⽤• 概要• Reference• 許可されたツールと関連する
セキュリティチェックを公開することは、セキュリティ規定（コンパイラ・リンカのオプションと警告など）を⾃動的かつ強制的に適⽤することを安価で容易にする。
• リストを定期的に更新すること
は、最新のバージョンのツールを使⽤を意味し、新たなセキュ
リティ分析と防御を組み込むことを意味します。

•

推奨するコンパイラ・ツールとオプション• 実装フェーズ

•アジャイル開発•

Bucket/Planning

Recommended Compilers, Tools, andOptions for All Platforms•

Appendix E: Required andRecommended Compilers, Tools, andOptions for All Platforms•

http://msdn.microsoft.com/library/cc
307395.aspx• Downloads•

SDL Tools•• 実施時期• 伝統的なソフトウェア開発•

banned.h•Code Analysis for C/C++•

SiteLock ATL Template•

Anti-Cross Site Scripting (Anti-XSS)
Library

•

FxCop

•

Microsoft Code Analysis Tool .NET
(CAT.NET)• Videos• Tools• Training

46

SDL Practice #9: (実装)
安全性の低い関数の使⽤禁⽌• 概要•• プロジェクトすべての関数とAPIを分析し、安全ではないと定義されたものの利⽤を禁⽌する
ことは、わずかな費⽤で潜在的なセキュリティ上の問題を軽減する。
• ヘッダーファイルの利⽤、新しいコンパイラや検査ツールを利⽤し、使⽤禁⽌リストに記載された関数を安全なものに変換する。

• 実施時期•

Strsafe.h について•

安全なCRT•SDL禁⽌ファンクションコール

•SDL開発者向けスターターキット 禁⽌API

About Strsafe.h (with Visual Studio)
Safe CRT (with Visual Studio)•

SDL Banned Function Calls•

SDL Developer Starter Kit – Banned APIs••

Downloads•

Banned.h•

セキュアな設計、開発、検査の基本
Basics of Secure Design, Development and
Test

•

•

Videos•Banned.h

•

Tools

•

Training•

セキュアな設計、開発、検査の基本
Basics of Secure Design, Development andTest•

実装フェーズアジャイル開発•••• 伝統的なソフトウェア開発•

Reference•

全てのスプリント（ Every Sprint ）SDL

セキュリティに関するクイックリファレンス
SDL Quick Security References

•

•

SDL

開発者向けスターターキット
SDL Developer Starter Kit•

47

SDL Practice #10: (実装)
静的分析の実施• 概要• コンパイル前にソースコードを分析することは、スケーラブル
なセキュリティコードレビューを可能とし、セキュアコーディ
ング規定に準じていることを確実にします。

• 実施時期•

Reference•

Downloads••••

Anti-XSS
Code Analysis

CAT.NET 静的なコード分析を使⽤したソフト
ウェアセキュリティ
••• 実装フェーズ

アジャイル開発• 全てのスプリント（ Every Sprint ）CAT.NET 32-bit/64-bit
FxCop
for C/C++

Webcast•• 伝統的なソフトウェア開発•

Videos•••CAT.NET 32-bit/64-bit
Anti-XSS
FxCop
Code Analysis
for C/C++SDL Developer Starter Kit – Code Analysis

コード分析ツールを使⽤したセキュリティ問題の
発⾒と対処
•

•

Tools

•

Training•

Basics of Secure Design, Development and
Test

SDL

セキュリティに関するクイックリファレンス

SDL

開発者向けスターターキット••

Detecting and Mitigating Security Issues
Using the Code Analysis Tool .NET (Level200)

セキュアな設計、開発、検査の基本••

Software Security with Static Code Analysis
Using CAT.NET (Level 200)•

SDL Quick Security References
SDL Developer Starter Kit

48

SDL Practice #11: (検査)動的分析の実施• 概要• Reference• ソフトウェアの実⾏時に検査によりアプリケーションの挙動をモニターし、メモリー破壊、
ユーザー権限の問題など、重要なセキュリティ上の問題をチェックする•SDL開発者向けスターターキット
バッファオーバーフロー、SQLインジェクション
•• Downloads•••

AppVerifier Download
BinScope Binary Analyzer Download
セキュアな設計、開発、検査の基本•• 実施時期•

アジャイル開発•

Bucket検査（ Bucket Verification ）Basics of Secure Design, Development andTest•

セキュリティ検査基準•

Cross-Site Scripting•• 伝統的なソフトウェア開発• 検査フェーズ

SDL Developer Starter Kit – Buffer Overflows,
SQL Injection

Secure Verification Principles• Videos•

BinScope Binary Analyzer• Tools• Training•

セキュアな設計、開発、検査の基本••

SDL セキュリティに関するクイックリファレンス••

Basics of Secure Design, Development and
Test
SDL Quick Security References

SDL 開発者向けスターターキット•

SDL Developer Starter Kit

49

SDL Practice #12: (検査)
ファジングの実施• 概要••

意図的に不正な形式やランダムなデータを扱うことで、プログラムエラーを引き起こすことは、ささやかなリソースの投資だけで、潜在的なセキュリティ上の問題を出荷前に明らかにすることを助ける。

Reference•••• 実施時期•

伝統的なソフトウェア開発•

アジャイル開発•

検査フェーズ•

Bucket検査（ Bucket Verification ）•ホワイトボックス・ファジングによる⾃動化されたペネト
レーションテスト•
Automated Penetration Testing with WhiteBox Fuzzing

Downloads
•

•
•

•

ファジングテスト：Visual Studio Team System
向けのテストインタフェースプロバイダーの作成•
Fuzz Testing: Create a Test Interface
Provider for Visual Studio Team System
正規表現DoSアタックと防御•
Regular Expression Denial of Service Attacks
and Defenses

Videos••

セキュアな設計、開発、検査の基本•
Basics of Secure Design, Development andTest
SDL 開発者向けスターターキット•
SDL Developer Starter Kit
MiniFuzz File Fuzzer SDL Regex Fuzzer
楽しくて役に⽴つファジング•
File Fuzzing for Fun and Profit (Level 300)
MiniFuzz File Fuzzer SDL Regex Fuzzer

•

Tools

•

Training•••

セキュアな設計、開発、検査の基本•
Basics of Secure Design, Development andTest
SDL セキュリティに関するクイックリファレンス•
SDL Quick Security References
SDL 開発者向けスターターキット•
SDL Developer Starter Kit

50

SDL Practice #13: (Verification)
アタックサーフェス・レビューの実施• 概要• Reference• コード完成と同時に、アタック
サーフェス・レビューを⾏う
ことは、アプリケーションやシステムに対する設計や実装の変更が注意深く⾏われていることを確認し、修正の結果として新たなアタックベクターが作られた場合には、レビューを実施し、脅威モデルに反映する。

• Downloads• Videos• Tools•

アタック・サーフェス・アナライザ•

Attack Surface Analyzer• Training• 実施時期• 伝統的なソフトウェア開発• 検査フェーズ

• アジャイル開発• Bucket検査（ Bucket
Verification ）51

SDL Practice #14: (Release)
インシデント対応計画の策定• 概要• Reference• インシデント対応計画の策定は、時間と共にあらわれる新たな脅威の対処を⾏う上で重要なものです。
• 適切なセキュリティ上の緊急事態の連絡先、他の部⾨やサードパーティから引き継いだ
コードに対するセキュリティ
サービス計画も含みます。

• 実施時期• 伝統的なソフトウェア開発• リリースフェーズ•• Downloads•

Microsoft SDL の簡単な実装••

SDLプライバシーアンケートのインシデント
対応セクション
••Simplified Implementation of theMicrosoft SDL

Incident Response section of SDL
Privacy Questionnaire

SDLプライバシーエスカレーション対応
フレームワークサンプル•

SDL Privacy Escalation Response
Framework Sample• Videos• Tools• Training

アジャイル開発• ⼀度（One Time）

52

SDL Practice #15: (Release). 最終セキュリティレビューの実施• 概要• Reference• 実施されたすべてのセキュリティ
活動を慎重にレビューすることは、
ソフトウェアのリリースを確実にすることを助けます。
• 通常、最終セキュリティレビュー
は、脅威モデル、ツールの出⼒、要求定義フェーズで策定した品質基準とバグバーに対する結果を含みます。
• 最終セキュリティレビューに結果
は、合格、除外項⽬を含んだ合格、
エスカレーションの何れかとなります。

•

SDL セキュリティ・バグバー•• Downloads•

SDLプロセステンプレート•

Agile+SDLプロセステンプレート•••• 伝統的なソフトウェア開発

SDL Process Template
MSF-Agile+SDL Process Template

Microsoft SDL の簡単な実装•

Simplified Implementation of theMicrosoft SDL• Videos•

SDLプロセステンプレート•

Agile + SDLプロセス••• 実施時期サンプル

SDL Security Bug Bar Sample

SDL Process Template
MSF- Agile + SDL Process• Tools• Training• リリースフェーズ

アジャイル開発•• Every Sprint53

SDL Practice #16: (Release)
出荷承認と記録• 概要• Reference• 全ての関係するデータをアーカイブすることは、リリース後の活動を実施し、⻑期間にわたる
ソフトウエアの維持コストを削減するために重要です。
• 全ての仕様書、ソースコード、
バイナリ、プライベートシンボ
ル、脅威モデル、ドキュメント、
緊急対応プラン、サードパー
ティ製ソフトウェアのライセン
スとサービスの条件をアーカイブする必要があります。

• 実施時期• 伝統的なソフトウェア開発• Downloads•

Microsoft SDL の簡単な実装••

SDL プロセステンプレート••

Simplified Implementation of theMicrosoft SDL
SDL Process Template

Agile+SDL プロセステンプレート•

MSF-Agile+SDL Process Template• Videos•

SDLプロセステンプレート••

SDL Process Template

Agile + SDLプロセス•

MSF- Agile + SDL Process• Tools• Training• リリースフェーズ•

アジャイル開発:• Every Sprint

54

SDL関連 リファレンス

55

リファレンス 1/3
About Strsafe.h (with Visual Studio)
Add a Security Bug Bar to Microsoft Team Foundation Server 2010
Anti‐XSS
Anti‐XSS (VIDEO)
AppVerifier Download
AppVerifier Download
Attack Surface Analyzer
Automated Penetration Testing with White‐Box Fuzzing

http://msdn.microsoft.com/library/ms647466(VS.85).aspx
http://msdn.microsoft.com/en‐us/magazine/ee336031.aspx
http://go.microsoft.com/?linkid=9757780
http://www.microsoft.com/security/sdl/process/implementation.aspx#
http://www.microsoft.com/downloads/en/details.aspx?FamilyID=c4a25ab9‐649d‐4a1b‐b4a7‐
c9d8b095df18
http://www.microsoft.com/downloads/en/details.aspx?FamilyID=c4a25ab9‐649d‐4a1b‐b4a7‐
c9d8b095df18
http://go.microsoft.com/?linkid=9758398
http://msdn.microsoft.com/library/cc162782.aspx

Banned.h

http://www.microsoft.com/downloads/en/details.aspx?FamilyID=6aed14bd‐4766‐4d9d‐9ee2‐
fa86aad1e3c9&displaylang=enBanned.h (VIDEO)

http://www.microsoft.com/security/sdl/process/implementation.aspx#

Basics of Secure Design, Development and Test

http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Basics%20of%20Secure%20Design%20Development%20Test.ppsx

Basics of Secure Design, Development and Test

http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Basics%20of%20Secure%20Design%20Development%20Test.ppsx

Basics of Secure Design, Development and Test

http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Basics%20of%20Secure%20Design%20Development%20Test.ppsx

BinScope Binary Analyzer (VIDEO)
BinScope Binary Analyzer Download
BinScope Binary Analyzer Download

http://www.microsoft.com/security/sdl/process/verification.aspx#
http://www.microsoft.com/download/en/details.aspx?id=11910
http://www.microsoft.com/download/en/details.aspx?id=11910

CAT.NET 32‐bit

http://www.microsoft.com/downloads/en/details.aspx?FamilyId=0178e2ef‐9da8‐445e‐9348‐
c93f24cc9f9d&displaylang=en

CAT.NET 32‐bit (VIDEO)

http://www.microsoft.com/security/sdl/process/implementation.aspx#

CAT.NET 64‐bit

http://www.microsoft.com/downloads/en/details.aspx?FamilyId=e0052bba‐2d50‐4214‐b65b‐37e5ef44f146&displaylang=en

CAT.NET 64‐bit (VIDEO)
Code Analysis for C/C++
Code Analysis for C/C++ (VIDEO)

http://www.microsoft.com/security/sdl/process/implementation.aspx#
http://msdn.microsoft.com/en‐us/library/ms182025.aspx
http://www.microsoft.com/security/sdl/process/implementation.aspx#

Cross‐Site Scripting

http://download.microsoft.com/download/F/B/D/FBDE7C61‐3B58‐4940‐8653‐FB375C1758DC/Cross‐
Site%20Scripting%20‐%20Microsoft%20SDL%20‐%20Developer%20Starter%20Kit.zip

Cross‐Site Scripting

http://download.microsoft.com/download/F/B/D/FBDE7C61‐3B58‐4940‐8653‐FB375C1758DC/Cross‐
Site%20Scripting%20‐%20Microsoft%20SDL%20‐%20Developer%20Starter%20Kit.zip

Cryptographic Agility

http://msdn.microsoft.com/en‐us/magazine/ee321570.aspx

56

リファレンス 2/3
Detecting and Mitigating Security Issues Using the Code Analysis
Tool .NET (Level 200)
Documenting And Evaluating The Security Guarantees Of Your Apps
Essential Software Security Training for the Microsoft SDL
Firewall Rules and Requirements
Fuzz Testing: Create a Test Interface Provider for Visual Studio Team
SystemFxCop
FxCop (VIDEO)
Incident Response section of SDL Privacy Questionnaire
Introduction to Microsoft SDL
Introduction to Microsoft SDL Threat Modeling
Introduction to Microsoft SDL Threat Modeling
MiniFuzz File Fuzzer
MSF‐Agile+SDL Process Template
Privacy Guidelines for Developing Software Products and Services
Privacy in Software Development
Privacy in Software Development
Recommended Compilers, Tools, and Options for All Platforms
Regular Expression Denial of Service Attacks and Defenses
Safe CRT (with Visual Studio)
SDL Banned Function Calls
SDL Developer Starter Kit
SDL Developer Starter Kit
SDL Developer Starter Kit – Banned APIsSDL Developer Starter Kit – Buffer Overflows, SQL Injection
SDL Developer Starter Kit – Buffer Overflows, SQL Injection

http://events.microsoft.com/Pages/Home.aspx?k=Detecting%20and%20Mitigating%20Security%20Issues%20Usi
ng%20the%20Code%20Analysis%20Tool%20.NET%20(Level%20200)&cs=This%20Site&u=https%3A%2F%2Fevent
s.microsoft.com#m=%3Br%3D0%3Bs%3D%3Byourrole%3D2%3Beventtype%3D2%3Blevel%3D2%3Btimelength%
3D2%3Bv%3Dlist%3Bpi%3D%3Bmi%3D%3Bsi%3D%3Bai%3D
http://msdn.microsoft.com/en‐us/magazine/cc163522.aspx
http://go.microsoft.com/?linkid=9786235
http://msdn.microsoft.com/en‐us/library/cc307394.aspx
http://msdn.microsoft.com/magazine/cc163313.aspx
http://www.microsoft.com/downloads/en/details.aspx?FamilyID=917023f6‐d5b7‐41bb‐bbc0‐
411a7d66cf3c&displaylang=en
http://www.microsoft.com/security/sdl/process/implementation.aspx#
http://msdn.microsoft.com/library/cc307393.aspx
http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Introduction%20to%20the%20Microsoft%20Security%20Development%20Lifecycle%20(SDL).ppsx
http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Introduction_to_Threat_Modeling.ppsx
http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Introduction_to_Threat_Modeling.ppsx
http://www.microsoft.com/downloads/en/details.aspx?displaylang=en&FamilyID=b2307ca4‐638f‐4641‐9946‐
dc0a5abe8513
http://www.microsoft.com/security/sdl/adopt/agile.aspx
http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=16048
http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Privacy%20in%20Software%20Development.ppsx
http://download.microsoft.com/download/9/3/5/935520EC‐D9E2‐413E‐BEA7‐
0B865A79B18C/Privacy%20in%20Software%20Development.ppsx
http://msdn.microsoft.com/library/cc307395.aspx
http://msdn.microsoft.com/magazine/ff646973.aspx
http://msdn.microsoft.com/library/8ef0s5kh(VS.80).aspx
http://msdn.microsoft.com/library/bb288454.aspx
http://www.microsoft.com/security/sdl/adopt/starterkit.aspx
http://www.microsoft.com/security/sdl/adopt/starterkit.aspx
http://www.microsoft.com/security/sdl/adopt/starterkit.aspx
http://www.microsoft.com/security/sdl/adopt/starterkit.aspx
http://www.microsoft.com/security/sdl/adopt/starterkit.aspx

57

リファレンス 3/3
SDL Developer Starter Kit – Code Analysis

http://www.microsoft.com/security/sdl/adopt/starterkit.aspx

SDL Optimization Model Self‐Assessment Guide

http://download.microsoft.com/download/2/c/4/2c414971‐f61c‐4679‐8144‐
53a16adc844e/SDL%20Optimization%20Model%20‐%20Self%20Assessment%20Guide.docx

SDL Privacy Bug Bar Sample

http://msdn.microsoft.com/en‐us/library/cc307403.aspx

SDL Privacy Escalation Response Framework Sample

http://msdn.microsoft.com/library/cc307401.aspx

SDL Privacy Questionnaire Sample

http://msdn.microsoft.com/en‐us/library/cc307393.aspx

SDL Process Template

http://go.microsoft.com/?linkid=9706652

SDL Quick Security References

http://www.microsoft.com/downloads/en/details.aspx?FamilyID=79042476‐951f‐48d0‐8ebb‐89f26cf8979d

SDL Regex Fuzzer

http://www.microsoft.com/downloads/en/details.aspx?FamilyID=8737519c‐52d3‐4291‐9034‐caa71855451f

SDL Security Bug Bar Sample

http://msdn.microsoft.com/en‐us/library/cc307404.aspx

SDL Tools

http://www.microsoft.com/security/sdl/adopt/tools.aspx

Secure Code Review Guidance and Code Priority Definitions

http://download.microsoft.com/download/3/E/2/3E297035‐2B7D‐44F7‐8EF6‐
08D4E9400EBE/Secure%20Code%20Review%20Guidance%20and%20Priority%20Definitions.docx

Secure Verification Principles

http://download.microsoft.com/download/F/B/D/FBDE7C61‐3B58‐4940‐8653‐
FB375C1758DC/Secure%20Verification%20Principles%20‐%20Microsoft%20SDL%20‐%20Developer%20Starter%20Kit.zip

Secure Verification Principles

http://download.microsoft.com/download/F/B/D/FBDE7C61‐3B58‐4940‐8653‐
FB375C1758DC/Secure%20Verification%20Principles%20‐%20Microsoft%20SDL%20‐%20Developer%20Starter%20Kit.zip

Security Definitions for Vulnerability Work Item Tracking

http://msdn.microsoft.com/library/cc307392.aspx

Security Requirements Questionnaire

http://download.microsoft.com/download/3/E/2/3E297035‐2B7D‐44F7‐8EF6‐
08D4E9400EBE/Security%20Requirements%20Questionnaire.docx

Security Risk Assessment

http://download.microsoft.com/download/3/E/2/3E297035‐2B7D‐44F7‐8EF6‐
08D4E9400EBE/Security%20Risk%20Assessment.docx

Simplified Implementation of the Microsoft SDL

http://go.microsoft.com/?linkid=9708425
https://msevents.microsoft.com/CUI/EventDetail.aspx?culture=en‐
Software Security with Static Code Analysis Using CAT.NET (Level 200)
US&EventID=1032402661&CountryCode=US
Template: SDL Exception Request

http://download.microsoft.com/download/3/E/2/3E297035‐2B7D‐44F7‐8EF6‐
08D4E9400EBE/SDL%20Exception%20Request%20Template.docx

58

The SDL Developer Starter Kit
Design Phase

Secure Design Principles (.zip)
Threat Modeling Principles (.zip)
Threat Modeling Tool 2014 Principles (.zip)
SQL Injection Vulnerabilities (.zip) Bonus! MSDN Virtual Lab
Cross‐Site Scripting Vulnerabilities (.zip) Bonus! MSDN Virtual Lab
Buffer Overflows (.zip) Bonus! MSDN Virtual Lab

Secure Implementation Principles (.zip)
Banned APIs (.zip)
Code Analysis (.zip) Bonus! MSDN Virtual Lab
Source Code Annotation Language (.zip) Bonus! MSDN Virtual Lab
Implementation Phase
Compiler Defenses (.zip) Bonus! MSDN Virtual Lab
SQL Injection Vulnerabilities (.zip) Bonus! MSDN Virtual Lab
Cross‐Site Scripting Vulnerabilities (.zip) Bonus! MSDN Virtual Lab
Buffer Overflows (.zip) Bonus! MSDN Virtual Lab

Verification Phase

Secure Verification Principles (.zip)
Security Code Review (.zip) Bonus! MSDN Virtual Lab
Fuzz Testing (.zip) Bonus! MSDN Virtual Lab
SQL Injection Vulnerabilities (.zip) Bonus! MSDN Virtual Lab
Cross‐Site Scripting Vulnerabilities (.zip) Bonus! MSDN Virtual Lab
Buffer Overflows (.zip) Bonus! MSDN Virtual Lab
59© 2015 Microsoft Corporation. All rights reserved.