第1章 総論
開発工程と脆弱性対策

(1) 要件定義

構築対象システムがどのようなものであらねばならないかを決める段階。どのようにコンピュータおよびネットワークを配し、どのようなデータ処理を行うか、人々はシステムにどのようにアクセスするかといった枠組みを決める。

(2) 開発基盤の選定

対象システムを稼働させるための技術的な基盤を選定する段階。プログラミング言語、アプリケーションフレームワーク、OS、サーバマシン等を決める。これ以降の工程は、ここにおける意思決定に強く束縛される。

(3) 設計

対象システムをどのような構造や仕様で実現するかを決める段階。設計の中は、さらに次のような細かな工程に分かれる。

(4) プログラム実装

それぞれのモジュールを実装する段階。詳細ロジックの設計、コーディング、および単体テストを含む

(5) テストと統合

実装されたプログラムをテスト計画にもとづいてテストし、段階的に大きな単位に統合する段階

(6) 運用

対象システムを運用する段階

脆弱性対策と工程

この一連のコンテンツの脆弱性対策の各記事は、その対策の考慮を開始する段階ごとに分けると、開発工程との間に次のような関係がある（図2）。

(1) 要件定義段階あるいはそれ以前から考慮するとよいもの

• 総論
  • 総論と対策の分類
  • 開発工程と脆弱性対策（本稿）
  • より良いWebアプリケーション設計のヒント
• アクセス制御対策
  • ユーザ認証対策
  • アクセス認可対策
• サイトデザインに関わる対策
  • メールの第三者中継対策

(2) 設計段階から考慮するとよいもの

• サイトデザインに関わる対策
  • 真正性の主張
• セッション対策
  • リクエスト強要（CSRF）対策
  • セッション乗っ取り : #1 セッションID侵害手口
  • セッション乗っ取り : #2 セッションIDの強度を高める
  • セッション乗っ取り : #3 https:の適切な適用
  • セッション乗っ取り : #4 セッションIDお膳立てへの対策
  • セッション乗っ取り : #5 兆候の警戒と被害の不拡大
• 暴露対策
  • Webサーバからのファイル流出対策
  • プログラムからのファイル流出対策
• 入力対策
  • コマンド注入攻撃対策
  • SQL注入 : #2 設定における対策

(3) 概ね実装段階で考慮するもの

• 暴露対策
  • コンテンツ間パラメータ対策
  • デバッグオプション対策
  • プロキシキャッシュ対策
• 入力対策
  • SQL注入 : #1 実装における対策
  • 入力検査漏れ対策
• エコーバック対策
  • スクリプト注入（XSS）: #1 対策
  • スクリプト注入（XSS）: #2 攻撃の解説
  • HTTPレスポンスによるキャッシュ偽造攻撃対策