InfoQ ホームページ Security-Code-Reviews に関するすべてのコンテンツ
ニュース
RSSフィード-
Detector Libraryとログインジェクション脆弱性のためのセキュリティ検出器を特徴とする新たなCodeGuru Reviewer
Amazon CodeGuru Reviewerは、機械学習を活用してコード（JavaとPython）のセキュリティ上の欠陥を検出し、コードの品質向上のための提案をする開発者ツールである。最近、AWSはツールに2つの新機能を導入した。新しいDetector Libraryと、ログインジェクション脆弱性用のセキュリティ検出器である。
-
GoogleとGitHubが新しいGitHubアクションワークフローを備えたOpenSSFスコアカードv4を発表
GitHubとGoogleは、Open Source Security Foundation（OpenSSF）のScorecardsプロジェクトのバージョン4リリースを発表した。スコアカードは自動化されたセキュリティツールである。このツールにより、オープンソースプロジェクトにおけるリスクの高いサプライチェーンのプラクティスが特定される。このリリースでは、新しいスコアカードGitHubアクション、新しいセキュリティチェックが追加され、Foundationsの毎週のスキャンに含まれるリポジトリが大幅に増加した。
-
Microsoftはコードのセキュリティを検証するツールApplication Inspectorをリリースした
最近のMicrosoftにのブログ投稿で、開発者がソリューションのセキュリティ脆弱性を検出するオープンソースツールが発表された。ツールはMicrosoft Application Inspectorと呼ばれ、GitHubから入手できる。組織が市場投入までの時間を短縮しようとすると、ソフトウェアの複雑さと、十分に吟味されていないオープンソースコンポーネントの利用により、見落としが生じる可能性がある。Application Inspectorは、サードパーティーライブラリで使われている悪意のあるコードを認識する。
-
GitHubは継続的な脆弱性検出のためにSemmleコード分析を統合する
GitHubはスタートアップのSemmleを買収し、継続的統合/継続的デプロイサービスの一部として、継続的脆弱性検出を目指している
-
アジャイルにおける設計とセキュリティ - QCon London Q&Aより
セキュリティ分野の専門家による設計書のレビューを行えば，脆弱性スキャンやセキュリティオートメーションでは検出不可能な，潜在的なセキュリティ問題を見つけることができる。このようなレビューでは，アクセストークンの発行や管理，外部サービスへのデータ転送，信頼できないコードの実行といった重要な部分に集中することが必要だ — AppLandの共同創業者でエンタープライズソフトウェアエンジニアのKevin Gilpin氏は，QCon London 2019年でこのように述べた。
-
GitLab 10.7でGitLab Web IDEが一般利用可能になる
GitLab 10.7では、C++およびGoコードのセキュリティ改善とKubernets統合改善とともに、マージリクエストの受け入れワークフローを簡単化するGitLab Web IDEが一般利用可能になった。
-
セキュリティ アセスメント技術：コードレビュー対ペネトレーション テスト
Webアプリケーションのセキュリティ テストとアセスメントには、セキュリティ コードレビューとペネトレーションテスト技術の両方を含むべきである。 OWASP の役員であるDave Wichers氏は、AppSec DC 2010 カンファレンス で、webアプリケーションのセキュリティ脆弱性を見つけるコードレビューとペネトレーションテストのアプローチのプラスとマイナスについて、講演した。