セキュリティ

セキュリティ

1. Webシステムセキュリティ

－ 事例1：脆弱性体験学習ツール AppGoat 機能拡張 －

【システム概要】

独立行政法人情報処理推進機構(IPA)様が提供する脆弱性体験学習ツール「AppGoat」
開発経験の浅い初心者から上級者までが利用できる、Webシステムの脆弱性の発見方法、対策について実習形式で体系的に学べる学習ツール。

• クロスサイト・スクリプティング
• SQLインジェクション
• CSRF（クロスサイト・リクエスト・フォージェリ）

等、Webシステムの主な脆弱性につき、その動作原理、発見方法や対策を効果的に体験学習できます。
同ツールはインターネット上で公開されており、どなたでも利用することが可能です。

【開発概要】

脆弱性体験学習ツール AppGoat機能拡張
担当工程：学習内容提案、要件定義、基本設計、詳細設計、製造、テスト
開発期間：７カ月
関連技術：セキュリティ、Web、学習コンテンツ

【機能拡張の内容】

実施した機能拡張の内容は、以下の３点です。

(1)「脆弱性修正演習」機能の追加

脆弱性修正実習を行う為、脆弱性の原因となるソースコードを修正する機能を追加。

(2)脆弱性の検査をテーマとした演習環境の追加

脆弱性の検査手法を学習する学習テーマを追加。

(3)既存機能の改善

現行のAppGoatの利便性を向上する為の機能改善を実施。

－ 事例2：システムログ可視化システム －

【システム概要】

某セキュリティ機関様向けシステムログ可視化システム

【開発概要】

(1) Sysmonログを収集し、DB化
(2) (1)のDBデータを入力として分析、可視化を行うWebシステム
担当工程：②の詳細設計、製造、テスト
開発期間：3カ月
開発言語：javaScript、Python
OS：Windows、Linux
関連技術：Kibana、STIX

－ 事例3：Webサイト自動脆弱性診断クラウドサービス －

【システム概要】

Webサイトの脆弱性検査を定期的に自動で実施するクラウドサービス。診断対象となる脆弱性は「OWASP Top10 2017」でスタート後、適時追加中。

【開発概要】

担当工程：設計、製造、テスト
開発期間：15ヶ月（継続）
開発言語：Java
OS：Linux
関連技術：Webセキュリティ

2. 暗号関連セキュリティ

－ 事例4：暗号通信ライブラリー(TLS)改修 －

【システム概要】

某通信事業者様提供の認証局ソフトウェアで利用されている、暗号通信ライブラリー(TLS/SSL)のSHA2対応改修　（政府認証基盤(GPKI)の認証アルゴリズム移行対応）

【開発概要】

暗号通信ライブラリー(TLS)
担当工程：詳細設計、製造、テスト
開発期間：3カ月
開発言語：C言語
関連技術：暗号、通信プロトコル、Web

－ 事例5：スマートフォンＳＩＭによるクライアント認証 －

【システム概要】

AndroidスマートフォンのSIMに内蔵された秘密鍵を利用し、クライアント認証を実施。（SSL双方向）
秘密鍵はSIMカードから取り出さずに認証を行うことにより、耐タンパ性を確保。

【開発概要】

・暗号通信ライブラリー(TLS)製造
担当工程：詳細設計、製造、テスト
開発期間：3カ月
開発言語：C言語
関連技術：暗号、通信プロトコル、Web

－ 事例6：共有サーバーによるIPSecVPNシステム －

【システム概要】

某社鍵共有サーバーによるIPSecVPNシステム

【開発概要】

・某社鍵共有サーバーとの通信を行いIPSecVPNを構築するRaspberry Pi向けデモシステム
担当工程：詳細設計、製造、テスト
開発期間：3カ月
開発言語：Java、Python
OS：Windows、Linux
関連技術：暗号、通信プロトコル、 Raspberry Pi