セキュアなソフトウェアの設計と開発 脅威モデリングに基づく普遍的アプローチ
ローレン・コンフェルダー／著 小出洋／監訳 秋勇紀／訳 高田新山／訳
発売日：2023年9月
- ページ数
- ３９９ｐ
- ISBN
- 978-4-7980-6975-3
- 著者情報
- コンフェルダー，ローレン（コンフェルダー，ローレン）（Ｋｏｈｎｆｅｌｄｅｒ，Ｌｏｒｅｎ）
５０年以上前にプログラミングを始める。マサチューセッツ工科大学（ＭＩＴ）在学中に発表した論文『Ｔｏｗａｒｄｓ ａ Ｐｒａｃｔｉｃａｌ Ｐｕｂｌｉｃ‐Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍ』（１９７８年）では、デジタル証明書と公開鍵基盤（ＰＫＩ）の基礎について初めて記述した。ソフトウェアのキャリアは幅広く、パンチカード、ディスクコントローラのドライバ、リンカー・ローダー、半導体研究所での機器制御ソフトウェアなど、多種多様なプログラミングの仕事に従事してきた
小出 洋（コイデ ヒロシ）
九州大学情報基盤研究開発センター教授。２０１７年４月より現職。情報システムに関連するサイバーセキュリティの教育と研究を行っている。プログラミング、並列分散計算に興味を持つ。社会人向けサイバーセキュリティ教育プログラム「ＳＥＣＫＵＮ」を主導している。ＳＥＣＣＯＮ実行委員。福岡県警・佐賀県警のサイバー犯罪テクニカルアドバイザも務める
秋 勇紀（アキ ユウキ）
ＬＩＮＥ株式会社ディベロッパーエクスペリエンス開発チームソフトウェアエンジニア。２０１９年３月に九州工業大学情報工学部卒業後、ＬＩＮＥ Ｆｕｋｕｏｋａ株式会社入社、２０２２年ＬＩＮＥ株式会社へ転籍。専門は、ｉＯＳアプリケーション開発、ビルド環境の改善といったモバイル関連のＤｅｖＯｐｓなど。さまざまなオープンソースソフトウェアへのコントリビュート、国内外のカンファレンス登壇を行う
高田 新山（タカタ シンザン）
ＬＩＮＥ Ｆｕｋｕｏｋａ株式会社Ａｐｐ Ｄｅｖｅｌｏｐｍｅｎｔ室ｉＯＳエンジニア。福岡で働くｉＯＳエンジニア。異業種からエンジニアへと転職後、受託開発企業、ベンチャー企業などを経て、２０２０年４月に東京から福岡へ移住と同時にＬＩＮＥ Ｆｕｋｕｏｋａ株式会社に入社。Ｊａｖａ、ＰＨＰ、Ｃ＃、ＪａｖａＳｃｒｉｐｔなどを用いたフロントエンド、バックエンドの開発経験もあり。国内のカンファレンスへの登壇やＳｗｉｆｔに関するさまざまな情報発信を行っている
セブン-イレブン受取り(送料無料)
発送目安
発売日（発売日以降は当日）～2日で発送
宅配（送料¥550税込）
発送目安
発売日（発売日以降は当日）～2日で発送
交通状況・天候の影響や注文が集中した場合等、お届けにお時間をいただく場合がございます。
商品説明
ソフトウェア開発に携わる全てのエンジニアに贈る包括的セキュリティ実践ガイド。Ｍｉｃｒｏｓｏｆｔで脅威分析モデル「ＳＴＲＩＤＥ」を開発した著者に学ぶ、ソフトウェアの構想からコーティングに至るまで、あらゆるフェーズで適用可能なセキュリティの極意。
本書は、セキュリティの脅威モデリングを行う際に広く使われている「STRIDE脅威モデル」を開発したローレン・コーンフェルダー氏の20年以上にわたる経験を集約し、ソフトウェアのセキュリティを向上させるための普遍的な手法をまとめたものです。設計やプログラミングからマーケティングまで、ソフトウェア製品に関わる全ての人を対象にしていますが、ソフトウェア設計にセキュリティを早期に組み込むこと、そのプロセスにチーム全体を巻き込むことを大きなテーマとしています。
STRIDEは、「なりすまし（Spoofing）」「改竄（Tampering）」「否認（Repudiation）」「情報漏洩（Information disclosure）」「DoS（Denial of service）」「権限昇格（Elevation of privilege）」の頭文字を取ったもので、セキュリティ上の脅威を分類するために、1990年代後半にMicrosoftでコーンフェルダー氏らが開発しました。このSTRIDEによってセキュリティに対する脅威を分類し、どのような対策が必要なのかを分析する「脅威モデリング」を行い、セキュリティ対策を行っていきます。本書は、これをベースにして、「コンセプト」「設計」「実装」という3つのパートに分けて書かれています。
第1部では、情報セキュリティとプライバシーの基礎、脅威モデリングの概念、脅威から防御するための軽減策、セキュリティ設計パターン、暗号技術という、本書の核となる概念を説明しています。これらは、以降の解説のベースとなります。
第2部では、セキュリティを考慮したソフトウェア設計とレビューのプロセスを取り上げます。ここが本書の最もユニークかつ重要なパートで、コーンフェルダー氏の経験と知見が詰まっています。
第3部では、実装段階でのセキュリティを取り上げ、セキュリティの課題と実際の脆弱性がコード上でどのように見えるか、コンピュータ演算やメモリ管理といった低レベルの層におけるコーディングの欠陥、入力やWebなどでの長年にわたってよく知られている問題、さらに、あまり活用されることがないセキュリティテストなどを実践的に解説しています。
本書で繰り返し述べているように、ソフトウェアのセキュリティは、専門家に任せるべき仕事えはなく、関わる全ての人が意識し、取り組むべき仕事です。本書は、そのための実践的で汎用的なガイドであり、各段階においてセキュリティに関する「正しい選択」をするための助けになるはずです。
目次
序文
著者前書き
謝辞
日本語版のための前書き
監訳者前書き
訳者前書き
イントロダクション
Part 1 コンセプト
Chapter 1 基礎
1.1 セキュリティを理解する
1.2 信頼
1.2.1 信頼を感じる
1.2.2 ビットを見ることはできない
1.2.3 能力と不完全さ
1.2.4 信頼とはスペクトラムである
1.2.5 信頼の決断
1.2.6 暗黙のうちに信頼されている部品（コンポーネント）
1.2.7 信頼されること
1.3 古典的原則
1.3.1 情報セキュリティのC-I-A
1.3.2 ゴールドスタンダード
1.3.3 プライバシー
Chapter 2 脅威
2.1 敵対的な視点
2.2 4つの質問
2.3 脅威モデリング
2.3.1 モデルから取り組む
2.3.2 資産の把握
2.3.3 アタックサーフェスを特定する
2.3.4 信頼の境界を特定する
2.3.5 脅威を特定する
2.3.6 脅威を軽減する
2.4 プライバシーへの配慮
2.5 どこでも脅威をモデリングする
Chapter 3 軽減策
3.1 脅威への対応
3.2 構造的な軽減策について
3.2.1 アタックサーフェスの最小化
3.2.2 脆弱性が入り込む時間幅を狭める
3.2.3 データの露出を最小限に抑える
3.3 アクセスポリシーとアクセス制御
3.4 インターフェイス
3.5 通信
3.6 ストレージ
Chapter 4 パターン
4.1 設計の特徴
4.1.1 無駄のない設計
4.1.2 透明な設計
4.2 露出の最小化
4.2.1 最小権限
4.2.2 最小情報
4.2.3 セキュア・バイ・デフォルト
4.2.4 ブロックリスト ほか
商品詳細
- 出版社名
- 秀和システム新社
- サイズ
- ２４ｃｍ
- 対象年齢
- 一般
- フォーマット
- 単行本
- 原題
- 原タイトル：Ｄｅｓｉｇｎｉｎｇ Ｓｅｃｕｒｅ Ｓｏｆｔｗａｒｅ
注意事項
- 本の帯に関して
- 帯つきでの出荷はお約束しておりません。
商品ページに、帯のみに付与される特典物等の表記がある場合でも、確実に帯つきでの出荷はお約束しておりません。
また、帯は商品の一部ではなく「広告扱い」のため、帯の有無・破損による交換や返品は承っておりません。 - 版・表紙について
- 版・表紙（カバー）のご指定は承っておりません。ご注文いただくタイミングによっては、お届けする商品の版や表紙が商品ページ上のものとは異なる場合がございます。
また、初版にのみにお付けしている特典（初回特典、初回仕様特典）がある商品は、商品ページに特典の表記がされている場合でも、無くなり次第終了となります。
