日立システム、Ｊａｖａソースプログラムの脆弱性を摘出するセキュリティ検証サービスを開始
Ｊａｖａソースプログラムの脆弱性を摘出するセキュリティ検証サービスを開始
～「ＩｎｓｐｅｃｔＰｒｏ」シリーズのラインアップ追加、セキュアなウェブアプリケーションの構築を実現へ～
株式会社日立システムアンドサービス（本社：東京都港区、執行役社長：中村博行、以下、「日立システム」）は、Ｊａｖａ言語ソースプログラムを対象とした、ウェブアプリケーションのセキュリティ脆弱性として上位を占めているクロスサイト・スクリプティング（※１）やＳＱＬインジェクション（※２）などの検証を行うサービスを「ＩｎｓｐｅｃｔＰｒｏ（インスペクトプロ）」シリーズのラインアップへ追加し、本日よりサービスを開始します。
独立行政法人 情報処理推進機構（以下ＩＰＡ）の報告書「ソフトウェア等の脆弱性関連情報に関する届出状況［２００６年第２四半期（４月～６月）］」によると、今四半期のソフトウェア製品の脆弱性届出件数は過去最高の８４件を記録し、セキュリティ問題への対策が近年ますます重要になってきているといえます。脆弱性が報告されたソフトウェア製品のうちで最も大きな割合を占める製品種類は「ウェブアプリケーションソフト」であり、「任意のスクリプト実行」を防止できなかったことが最大の原因となっています。また、ウェブアプリケーションの脆弱性種類としては「クロスサイト・スクリプティング」が約４割、「ＳＱＬインジェクション」が約２割を占めており、「データの改ざん、消去」や「Ｃｏｏｋｉｅ情報の漏えい」などの脅威が報告されています。
クロスサイト・スクリプティングやＳＱＬインジェクションはソースプログラムの記述によっては防止できる脆弱性であり、任意のスクリプト実行防止などアタッカーの攻撃への対策を講じたセキュアなソースプログラムを作成することが、ウェブアプリケーションのセキュリティ対策に非常に重要であると言えます。しかし、セキュリティの問題箇所は機能不良ではないので通常の機能テストでは検出が難しく、コードレビュー等による全ソースプログラムの検証が必要であり、対策に膨大な時間と人員の投入が必要になります。
日立システムのＩｎｓｐｅｃｔＰｒｏ（インスペクトプロ）はソースプログラムの不良を摘出し、レポートするサービスです（２００３年１２月発売）。最大の特徴は独自の二段階検証であり、検証ソフトにより自動的に不良の可能性が高い部分を検出する一次解析と、一次解析結果の中から専門アナリストが過剰指摘を排除する二次解析を組み合わせて、システムダウンや情報漏えいなどの重要障害につながる不良原因を的確にご報告いたします。Ｃ／Ｃ＋＋、Ｊａｖａ言語で作られたソースプログラムに対し、システムダウンや動作不正の原因箇所を摘出する「信頼性検証サービス」と、Ｃ／Ｃ＋＋言語のソースプログラムに対し、セキュリティ上の問題箇所を摘出する「セキュリティ検証サービス」を提供しており、今回新たにＪａｖａ言語対応のセキュリティ検証サービスを開始いたします。
Ｊａｖａ言語対応セキュリティサービスで対象とする問題箇所は、クロスサイト・スクリプティング、ＳＱＬインジェクションに加え、ＨＴＴＰレスポンス分割（※３）、ディレクトリトラバーサル（※４）というソースプログラムの記述により対策が可能な脆弱性を網羅しているため、指摘箇所を修正するだけで信頼性の高いウェブアプリケーション構築を実現いたします。解析ツールでソースプログラムを全パス組み合わせて網羅的に検証後、専門アナリストが真に修正が必要な問題箇所のみを詳細なレポートにてご報告するため、対策担当の方は修正が必要な箇所と修正内容の把握が容易に出来、短時間でソースプログラムへの脆弱性対策が可能になります。
また、新たに重要な脆弱性が報告された場合やお客様の個別のご要望に応じて、摘出対象とする脆弱性の追加も行っており、常に最新の情報に基づく最適な解析結果をご報告いたします。
日立システムでは、Ｊａｖａ言語対応のセキュリティサービスを今後２年間で売上高５億円の販売を目標としております。
（※１） クロスサイト・スクリプティング
ユーザーが入力した文字をそのままブラウザで表示する掲示板のようなウェブサイトでは、画面の入力フォームにスクリプト（簡易的なプログラム）が入力された場合の対策を行わないと、アタッカーの標的サイトになってしまう場合があります。標的サイトになるとユーザーに悪質なスクリプトを送信するよう仕組まれ、ユーザー情報の流出など多大な被害を及ぼす可能性があります。
ＩｎｓｐｅｃｔＰｒｏでは、ウェブブラウザから送信されたデータを元に動的に画面を組み立てるＪａｖａプログラムで、スクリプトが埋め込まれた場合の対策がなされていない箇所を摘出します。
（※２） ＳＱＬインジェクション
ユーザーＩＤとパスワードの認証システムのような、データベースにアクセスするウェブサイトでは、通常はブラウザから入力された値を元にデータベースの検索を行います。これらの入力フォームに入力された値を元にそのままＳＱＬ文を組み立ててしまうと予期せぬＳＱＬ文の実行につながり、本来表示してはいけないデータの表示やデータの改ざん・消去などの脅威を引き起こす可能性があります。
ＩｎｓｐｅｃｔＰｒｏでは、ウェブブラウザから送信された値を元にデータベースを検索するようなプログラムで、不正な値が入力された場合の対策がされていない箇所を摘出します。
（※３） ＨＴＴＰレスポンス分割
ユーザーから送信されたデータをそのままＨＴＴＰヘッダ作成に利用するウェブサイトでは、複数の改行コードやＨＴＭＬタグを表す記号が入力された場合の対策を行わないと、アタッカーの標的サイトになってしまう場合があります。標的サイトになると、アタッカーが埋め込んだ偽のウェブ画面をユーザーに送信してしまう可能性があります。
ＩｎｓｐｅｃｔＰｒｏでは、ユーザーから渡された値を元にＨＴＴＰレスポンスを作成するプログラムにおいて、複数の改行が渡された場合の対策がなされていない箇所を摘出します。
（※４） ディレクトリトラバーサル
入力された値を元にサーバー内のファイルを検索するようなウェブサイトでは、ファイル名入力フォームにパス表記やフォルダ名などが指定された場合、公開を想定していないフォルダやファイルへのアクセスを許可してしまい、情報流出やデータ改ざんなど多大な被害を及ぼす可能性があります。
ＩｎｓｐｅｃｔＰｒｏでは、ファイル名を取得するプログラムにおいて、入力ファイル名の妥当性を検証していない箇所を摘出します。
商品名称等に関する表示
ＩｎｓｐｅｃｔＰｒｏは、株式会社日立システムアンドサービスの登録商標です。
その他本文中の会社名、商品名は、各社の商標及び登録商標です。