InfoQ ホームページ Security-Development-Lifecycle に関するすべてのコンテンツ
ニュース
RSSフィード-
継続的セキュリティテストを有効にしてテストにセキュリティを追加する
チームは、テストプロセスにセキュリティテストを追加し、機能テストの自動化の一部としてセキュリティチェックを追加して領域の特定ができるようになるためにセキュリティの専門家によってトレーニングをうけることが可能だ。これにより、継続的なセキュリティテストが可能になり、すべてのリリースでセキュリティテストの対象範囲が広がり、セキュリティの欠陥を早期に発見できる。
-
調査結果より、Infosecチームがクラウドの複雑さに対処するためにセキュリティツールの使用を拡大
非営利組織であるクラウドセキュリティアライアンス（CSA）は、最近、クラウドセキュリティプラクティスの現状に関する調査結果を発表した。これは、クラウドの採用が加速していることを示しており、より高度なセキュリティアプローチが必要とされる。
-
英国政府NCSCによるセキュリティアーキテクチャのアンチパターン
英国政府のNational Cyber Security Centreは先頃、コンピュータシステムを設計する際に避けるべき6つの設計パターンに関する白書を公開した。 この記事では回避すべきアンチパターンと、それらを認知した場合に実行可能なシステム改善策について論じる。
-
GitHubは継続的な脆弱性検出のためにSemmleコード分析を統合する
GitHubはスタートアップのSemmleを買収し、継続的統合/継続的デプロイサービスの一部として、継続的脆弱性検出を目指している
-
"Grafeas"メタデータAPIと"Kritis"デプロイオーソライゼーションによるソフトウェアサプライチェーン管理
コンテナのセキュリティをテーマとした先日のGoogle Cloud Platform(GCP)ブログのシリーズの中で、GCPチームは、Grafeas -- ビルドの詳細やテストステータス、既知のセキュリティ問題といった、ソフトウェアコンポーネントに関わるメタデータの格納、クエリ、取得を目的とする共通APIと言語、と、Kritis -- Grafeasに格納されたメタデータを使用して、Kubernetes上のリアルタイムなデプロイメントポリシを構築および実施するものとして提案中のフレームワーク、を紹介した。
-
ChefがInSpec 2.0でクラウドセキュリティの自動化を強化
継続的オートメーションベンダーであるChefは、Chefの無料オープンソースツールの新バージョンであるInSpec 2.0をリリースした。InSpecによって、DevOps・クロスファンクショナルアプリケーションチーム、インフラストラクチャチーム、セキュリティチームがセキュリティルールとコンプライアンスルールをコードで表現できる。そして、ソフトウェア配信のライフサイクル全体を通じてコンプライアンスの問題を評価し、修復できるようになる。
-
マイクロサービスとセキュリティ
アプリケーションセキュリティとなると、ばしば後付けで処置しようと試みる。開発ワークフローにテストを加える方法については既に学んでいるが、セキュリティに関しては誰かが来て後で修正してくれるとしばしば決めてかかってしまう。Sam Newman氏はロンドンのMicroservices Conferenceの基調講演において、マイクロサービスの文脈でのセキュリティに関してこう主張した。
-
ソフトウェア開発ライフサイクルにおけるセキュリティ
アプリケーションのセキュリティ特性は，ソフトウェア開発プロセスに統合されたものでなければならない。後の段階になってからの侵入テストでは不十分だ。誤りを修正するには遅すぎるし，費用も掛かりすぎる。Microsoft の Steve Lipner 氏は先週，RSA 2011 カンファレンスのアプリケーションセキュリティセミナ で，ソフトウェア開発ライフサイクルにおけるセキュリティについて講演した。
-
合衆国政府のクラウドコンピューティングの評価認定に関する提案
2週間前、合衆国のCIO協議会のオフィスは合衆国政府のクラウドコンピューティングに対するセキュリティの評価認定に関する提案と題した90ページの提案書を発表した。この提案書は18ヶ月にわたるNIST、SA、ISIMC、CIO協議会の間で行われた作業の成果であり、合衆国政府のクラウドコンピューティングに対するセキュリティ管理と複数の評価認定モデルを審査するために作成されたものだ。
-
AppSec DC で Neal Ziring氏が アプリケーションの保証について講演
Neal Ziring氏は、開発者の役割は、変わってきており、アプリケーション防御の第一線になってきた、と言った。氏は、先週のAppSec DC 2010カンファレンスで基調講演を行った。また氏は、回復性や可視性などの側面に焦点を当てて、アプリケーションの保証プロセスについても話した。