アプリケーションの脆弱性リスクを検証

Microsoft、開発者支援ツール「Attack Surface Analyzer」を公開

「Attack Surface Analyzer」では、新開発のアプリケーション導入によって攻撃の様相が変化するかどうかを検証できる。

公開 2011年02月17日 11時53分

更新 2012年09月04日 16時06分

著者

Robert Westervelt

[TechTarget]

印刷する

　米Microsoftが開発者支援のための新ツールをリリースした。脆弱性を突いたWindowsへの不正アクセス攻撃の様相が、新開発のアプリケーション導入によって変化するかどうかを検証できる。

　「Attack Surface Analyzer」と呼ばれるこのツールは、新しいSDL検証ツールのβ版として2011年1月に一般公開された。アプリケーションをインストールする前とインストールした後のWindowsシステムの状態についてスナップショットを取ることができる。

　Microsoftはバージニア州アーリントンで開かれたBlack Hat D.C.カンファレンスで幾つかの発表を行い、新ツールもその1つだった。同社はBlack Hatでセキュアなソフトウェア開発戦略にスポットを当てるのが恒例になっている。これまでにもTrustworthy Computingプロジェクトの一環として、社内プロセスについて解説した文書やツールを業界全体に向けて公表し、よりセキュアなソフトウェア開発プロセスの構築を支援してきた。

クロスサイトスクリプティング攻撃とは　後編――防止方法

Microsoftの脆弱性スキャナ「MBSA」の限界

ソフトウェアセキュリティ問題の背景と解決の出発点

MS純正のセキュリティ検査ツールMBSAを使いこなす

　新ツールは他の分野のIT専門家にも活用してもらえるとMicrosoftは説明する。IT監査担当者がAttack Surface Analyzerを利用すれば、新規にインストールしたアプリケーションによってもたらされるリスクを検証できる。事件対応に利用すれば、捜査の過程でシステムのセキュリティ状態について理解を深めることができる。

　MicrosoftのSDLチームでセキュリティプログラムマネジャーを務めるデービッド・ラッド氏によると、ツールを公開したのはフィードバックを募り、実地利用に関するデータを顧客から収集する一助とするためだという。

　ラッド氏はAttack Surface Analyzerについてブログにこう記している。「Microsoftでは何年も前から、アプリケーションをリリースする前に攻撃対象領域の検証を条件としてきた。ただし、アプリケーションやソフトウェアプラットフォームの攻撃対象領域を検証するのは、最初は怖いことに思えるかもしれない」（ラッド氏）

　新ツールはWindows 7、Windows Vista、Windows Server 2008、Windows Server 2008 R2に対応している。

　さらにMicrosoftは、「SDL Threat Modeling Tool」の次期バージョンも発表した。ラッド氏によると、バージョン3.1.6では新旧のアプリケーションを早い段階で構造的に分析し、潜在的なセキュリティ問題やプライバシー問題を未然に防止できるようになった。同ツールは現在β版で、図表設計はMicrosoft Visio 2010に対応している。2011年秋に製品版をリリース予定。Microsoftは2010年、SDLのラインアップで新たにアジャイル開発手法をサポートした。

　既存ツールの「BinScope Binary Analyzer」の更新版も公開された。このツールでは、攻撃に利用されることの多いバイナリ上のコーディングの弱点をチェックできる。バージョン1.2はVisual Studio 2008／2010と統合され、作業項目への結果出力ではMicrosoft Team Foundation Server 2008、Microsoft Team Foundation Server 2010に対応している。

“アジャイル開発”適用への3つの課題――IPAが指摘

チーム開発のための“環境、プロセス、ツール”をVisual Studioで提供

3分の1はMS Projectユーザー――SMBにおけるPPMツール利用の実態

開発手法に依存しないリポジトリ構築でプロセスの最適化を目指す