ユーザー

フロントエンド

複雑なミドルウェア

データベース

バグ追跡とセキュリティ機能

クライアント: ユーザー インターフェイス、ローカル データベース操作、通信メカニズム

サーバー: データリクエストを実行および処理し、結果を返します。

システムまたはアプリケーションの機能要件

基準とガイドライン

輸出制限

データ機密レベル

関連するセキュリティ ポリシー

費用対効果の分析結果

目標を達成するために必要な保護レベル

ハードウェアはソフトウェアとは異なります

通常、ソフトウェアで実現する機能はシステム設計時に決定されます。

ソフトウェアの検証では、システムが設計されたすべてのコンテキストを考慮する必要があります

ソフトウェアとハ​​ードウェアの違い

システムおよびソフトウェアの設計に関連するすべてのアクティビティが含まれます。

システム アーキテクチャ、システム出力、システム インターフェイスの設計

データ入力、データ フロー、データ出力の要件を確立し、企業のセキュリティ アーキテクチャに基づいてソフトウェア セキュリティ機能を一般的に設計します。

データ設計

建築デザイン

プロセス設計

脅威モデリング (STRIDE)

攻撃対象領域の最小化分析

クリーンな入力と出力

後続のフェーズの作業分解構造 (WBS)

製品の詳細と導入環境

製品のモジュール化と再利用の問題

ソースコードが生成され、それに応じてテストシナリオとテストケースが開発されています

単体テストと統合テストの実装を開始する

手順とシステムもメンテナンスのために文書化され始め、その後受け入れテストと本番への移行に移行します。

単体テスト

統合テスト

システムテスト

受け入れテスト

回帰試験

機能テスト

性能試験

ファジングテスト

脆弱性スキャン

手動テスト

動的解析

製品仕様が満たされていることを確認する

プロジェクトの主な目的が確実に達成されるようにする

IT システムの技術的および非技術的なセキュリティ特性とその 保護対策の安全性評価、特定の設計と実装がどのように適合するかを測定する 認定プロセスをサポートするために定義された一連のセキュリティ要件。

セキュリティ管理を調査および評価するプロセス

外部の独立した検査機関によって実施される

セキュリティポリシーと標準への準拠を確認する

権威ある機関が、IT システムが承認され、次のことができることを正式に宣言します。 許容可能なレベルのリスクを満たす定義済みのセキュリティ対策セットを採用する特定のセキュリティ モードで動作できる

経営陣によるシステムの承認

リスクを明確に受け入れる

この段階では、システムは受け入れ段階から実際の運用環境に移行します。

この段階の活動には、安全性の承認の取得が含まれます (セキュリティ認定);

計画に従ってユーザーをトレーニングします。

インストールとデータ変換を含むシステムの実装。

必要に応じて、並列操作を実行します。

物理的損傷

消磁

上書きする

同様の運用システムを開発およびテストする

再現可能で信頼性の高いプロセスで導入する

運用品質の監視と検証

フィードバックループを拡大する

オブジェクトの構造とステータスの特性を説明します。

オブジェクトが実行できる機能またはプロセス

モジュールが実行できるさまざまな種類のタスクの数を反映します

凝集度が高いほど、更新と変更が容易になります。 他のモジュールと対話する他のモジュールに影響を与えることなく、

モジュールがタスクを実行するために必要な対話量

結合度が低いため再利用が容易で、変更は他のモジュールに影響を与えません。

バッファオーバーフロー攻撃

XSS クロスサイト スクリプティング攻撃

SQLインジェクション攻撃

本質: データについてのデータ

データソース定義、ターゲット定義、変換ルールなどに関連する主要データ

データの一貫性

データ共有

データ復旧

安全に制御する

データベース言語

効果的なアプローチまたはプロセスを確保する

論理ツリー構造内で関連するレコードとフィールドで構成される論理ツリー構造

ツリー構造には多くの枝が含まれており、各枝には多くの葉またはデータ フィールドがあります。

アクセスするには明確なパスが必要ですが、 頻繁な変更には適さないが、頻繁なクエリには適している

例: Lightweight Directory Access Protocol LDAP、レジストリ構造

有向グラフを使用して、エンティティの種類とエンティティ間の関係を表します。 厳密なツリー構造ではなく、ネットワーク的な冗長構造

各データ要素には複数の親ノードと子ノードがあります。

階層モデルと比較して高速な検索

機能: 属性/フィールド (列) およびタプル/レコード (行)

主キーと外部キー

基本コンポーネント:

(RDBMS) 関係の整合性

データディクショナリ:

オブジェクト指向プログラミングのオブジェクト データ モデルと DBMS を組み合わせると、 画像、音声、ビデオなどのデータを保存できます。

オブジェクト指向データベースは、クラスを使用してオブジェクトのプロパティとプロシージャを定義します。

ロールバック

提出する

セーブポイント/チェックポイント （チェックポイント）

ロックメカニズムを使用して同時操作の脅威に対処する

一部の情報は個別に機密ではありませんが、一緒に機密となります。

解決

必要な結果を集計する

Reasoning は表示できる情報を取得できません

解決：

ACIDの原則

OLAP はデータ ウェアハウス システムの主要なアプリケーションです

意思決定者や上級管理者に適しています

情報検索とデータ分析を可能にするために、 複数のデータベースまたはデータ ソースを 1 つの大きなデータベースに結合します

データマイニング

推論エンジンは、ユーザー インターフェイス、外部ファイル、プラン、およびプログラムへのアクセス機能を提供します。

ナレッジベースには、特定の問題またはドメインに関連するデータが含まれています

発行された画像とタイトルを変更後の画像とタイトルに置き換えます

認識と現実

仮想環境におけるサービスとトランザクションの欺瞞

特権ユーザーへのアクセスを制限する

メッセージを収集する

管理インターフェース

認証とアクセス制御

構成管理

確認を入力してください

パラメータの確認

セッション管理

SAML セキュリティ アサーション マークアップ言語、 これは XML ベースのプロトコルです。 フェデレーション ID 標準です。 さまざまなセキュリティ ドメインで認証および認可情報を送信するために使用され、シングル サインオンの実装に使用できます。 KDC に依存する Kerberos と同様に、SAML は IDP (アイデンティティ プロバイダー) に依存します。 SAML には、ポリシー強制と呼ばれる機能があります。

OAuth (Open Authorization) はオープン標準であり、 ユーザーが Web サイト上に保存したプライベート リソース (写真、ビデオ、連絡先リストなど) にサードパーティのアプリケーションがアクセスできるようにします。 ユーザー名とパスワードをサードパーティのアプリケーションに提供する必要はありません。

元の OAuth は非常に長い有効期間 (通常は 1 年間、または有効期限なし) のトークンを発行しますが、OAuth 2.0 では、サーバーは有効期間の短いアクセス トークンと有効期間の長いリフレッシュ トークンを発行します。これにより、クライアントはユーザーが再度取得する必要がなく、新しいアクセス トークンを取得できるようになり、アクセス トークンの有効期間も制限されます。

Java言語はバイトコードとJava仮想マシンで構成されています 機械が認識できるマシンコードに変換します。

アプレットはサンドボックス内で実行されます (サンドボックスは最小限の承認を実現するのに役立ちます。 悪意のあるコード攻撃に対処する効果的な手段です ウイルス対策ソフトウェアの代替)

特徴: 再生と破壊、ホストが必要

マクロウイルス

ブートセクターウイルス

圧縮ウイルス

秘密のウイルス

変成ウイルス

スプリットウイルス

自分自身が引き起こすウイルス

スクリプトウイルス

トンネルウイルス

ホストなしで自己複製可能

電子メール、ウェブサイトのダウンロードなどを通じて配布されます。

ボットはマルウェアの一種であり、潜在的な コード

別の番組に見せかけた番組

ロジックボムは特定のイベントが発生したときに実行されます。

不審カウンター

一部のウイルス対策ソフトウェアは疑わしいサンドボックスを作成します。 疑わしいコードを動的に分析する

分類：

ウイルスをターゲットにして、感染していると思わせます。

管理的、物理的、技術的方法を通じてウイルスから保護する

被害者のネットワーク帯域幅を消費する

被害者のリソースを消費する

スマーフ攻撃

フラグル攻撃

smurf と farggle はプロトコルの欠陥を悪用する 2 つの方法であり、 増幅されたネットワークを使用して DoS を起動する例

SYNフラッド攻撃

ティアドロップ攻撃

分散型サービス拒否攻撃 (DDOS)

指紋とデジタル署名の MD5 比較

ファイルの整合性チェック

テスト環境でパッチをテストする

現在は重要度の低いシステムに導入されています

パッチ更新ログ、記録、アーカイブ

セキュリティ評価者またはその他の独立した機関が、検証が必要な脆弱性を検証および確認します。

大きな組織では

開発者とシステム所有者は、独立した組織の同意なしに、リスクが軽減されたという宣言を承認することはできません

コード署名は、コードの整合性を確保し、そのコードの開発者を特定し、開発者がそのコードを使用する目的を判断するために使用される技術です。

コード署名証明書とデジタル証明書により、ユーザーは漏洩ファイルやアプリケーションのダウンロードを回避できます。

コードが署名されると、コードの信頼性を判断し、開発者以外の誰かによって変更されたかどうかを検出できます。

コード署名は次の目的で使用されます。

コード署名は 3 つの部分で構成されます

コード署名でできないこと

バグを素早くテストする

パッチ適用の副作用を観察する

バグ修正ごとに回帰テスト計画を作成する

2 つ以上のテストが類似している場合、どれが効率が低いかを判断して破棄します。

テスト計画を特定し、継続的に実施して文書化する

デザインよりも機能的な問題に関する懸念

サイズに関係なくデータへの変更を特定し、その結果生じる破損を検出します。

プログラムメモリに対する変更の影響を追跡する

最も効果的なアプローチは、新しいバージョンが構築されるたびに実行できる標準テスト ケースのプールに基づくテスト ライブラリです。

テスト ライブラリを構築する際の難しさは、どのテスト ケースを含めるかを決定することです。

自動テストとテスト ケースには境界条件とタイミングも含まれ、これらはすべてテスト ライブラリに属します。

自動テストを効果的にするには、複雑なテスト方法論の一部として十分な変数を統合すると、コスト効率が高く効率的になります。

システムが受け入れ基準を満たしているかどうかを判断し、顧客がシステムを受け入れるかどうかを決定できるようにするために実行される正式なテスト

アジャイル開発では、受け入れ可能性テスト/基準は通常、企業顧客によって確立され、ビジネスドメインの言語で記述されます。