Differences

This shows you the differences between two versions of the page.

--- ja:start [2017/06/30 11:58] – [PHP Secure Coding Standard] yohgaki
+++ ja:start [2017/07/02 23:06] (current) – [推奨事項] yohgaki
@@ Line 1: / Line 1: @@
-====== PHP Secure Coding Standard ======
+====== PHPセキュアコーディング標準 ======
-このルールは[[http://php.net|PHP]]のコードをセキュアに書くためのルールを定義しています。現在の状態は開発中です。コメント／フィードバックを歓迎します。
+PHPセキュアコーディング標準は[[http://php.net|PHP]]のコードをセキュアに書く（正しくコードを動作させる）ためのルールを定義しています。
-このセキュアコーディング標準はフレームワークを利用しないPHPのコードを対象としています。フレームワークを利用する場合、そのフレームワークに合ったセキュアコーディング標準が必要です。セキュアコーディング標準は総合的なリスク対策ではなく、個別かつ具体的なコーディングにおけるリスクとその対策を解説することが目的です。
+このPHPセキュアコーディング標準はフレームワークを利用しないPHPのコードを対象としています。フレームワークを利用する場合、そのフレームワークに合ったセキュアコーディング標準が必要です。セキュアコーディング標準は総合的なリスク対策ではなく、個別かつ具体的なコーディングにおけるリスクとその対策を解説することが目的です。
 具体的な個別のコードのリスクを知る事も重要ですが、セキュアコーディングの基本的概念を知る方がより重要です。
@@ Line 10: / Line 10: @@
   * [[http://blog.ohgaki.net/design-by-contract-and-trust-boundary|契約による設計と信頼境界線]]
-国際情報セキュリティ標準であるISO 27000（JIS Q 27000）は日本工業標準調査会のWebサイトからPDFを参照できます。
+OWASPの[[http://blog.ohgaki.net/owasp-secure-coding-practices-quick-reference-guide|OWASP Secure Coding Practices – Quick Reference Guide]]はチェックリスト形式でセキュアコーディング概念の基礎要素がコードに実装されているか確認できる便利なチェックリストです。
-  * https://www.jisc.go.jp/app/JPS/JPSO0020.html
+===== 標準ルールテンプレート =====
-上記のJIS検索のページから「情報セキュリティ」をキーワードとした検索でJIS Q 27000のページを検索できます。
-より一般的なセキュリティ対策のチェックリストなども有用です。
-  * [[http://blog.ohgaki.net/owasp-secure-coding-practices-quick-reference-guide|OWASP Secure Coding Practices – Quick Reference Guide]]
-  * [[http://blog.ohgaki.net/sans-cwe-top-25-monster-mitigation|CWE/SANS TOP 25 Most Dangerous Software Errors - Monster Mitigations]]
-  * [[https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project|OWASP Top Ten Project]]
-セキュアコーディング本家のセキュアコーディング標準
-  * [[https://www.securecoding.cert.org/confluence/display/c/SEI+CERT+C+Coding+Standard|SEI CERT C Coding Standard]]
-  * [[https://www.securecoding.cert.org/confluence/pages/viewpage.action?pageId=637|SEI CERT C++ Coding Standard]]
-  * [[https://www.securecoding.cert.org/confluence/display/java/SEI+CERT+Oracle+Coding+Standard+for+Java|SEI CERT Oracle Coding Standard for Java]]
-===== セキュアコーディングの目的 =====
-セキュアコーディングは単なる脆弱性対策ではない。セキュアコーディングの目的は
-  * プログラムが正しく実行されること/正しく実行されたことを保証する
+このPHPセキュアコーディング標準はこの[[.:intro:テンプレート]]を利用する
-ことにある。一般に脆弱性対策という場合、”攻撃可能な脆弱性修正”（攻撃防止）を意味する。しかし、ITセキュリティ対策は攻撃防止のみに留まらない。
+===== ステータス =====
-ISO 27000では
-  * 機密性
+現在の状態は<color #ed1c24>**開発中**</color>です。コメント／フィードバックを歓迎します。
-  * 完全性
-  * 可用性
-  * 信頼性
-  * 真正性
-  * 責任追跡性
-  * 否認防止
-これら全ての性質を保証することを求めている。
 ===== はじめに =====
   - [[.:intro:謝辞]]
-  - [[.:intro:導入]]
+  - [[.:intro:セキュアコーディングの目的]]
-  - [[.:intro:テンプレート]]
+  - [[.:intro:セキュアなコードの構造（アーキテクチャー）]]
@@ Line 71: / Line 46: @@
   - [[.:rule:セッション管理]]
   - [[.:rule:ファイルアップロード]]
+  - [[.:rule:ファイル]]
   - [[.:rule:暗号]]
   - [[.:rule:PHP設定]]
@@ Line 83: / Line 59: @@
   - [[rec:コードの配置]]
-  -
+  - [[rec:機能の制限]]
@@ Line 89: / Line 65: @@
 ===== リファレンス =====
+国際情報セキュリティ標準であるISO 27000（JIS Q 27000）は日本工業標準調査会のWebサイトから標準規格を参照できます。上記のJIS検索のページから「情報セキュリティ」をキーワードとした検索でJIS Q 27000のページを検索できます。
+  * https://www.jisc.go.jp/app/JPS/JPSO0020.html
+より一般的なセキュリティ対策のチェックリストなども有用です。
+  * [[http://blog.ohgaki.net/owasp-secure-coding-practices-quick-reference-guide|OWASP Secure Coding Practices – Quick Reference Guide]]
+  * [[http://blog.ohgaki.net/sans-cwe-top-25-monster-mitigation|CWE/SANS TOP 25 Most Dangerous Software Errors - Monster Mitigations]]
+  * [[https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project|OWASP Top Ten Project]]
+セキュアコーディング本家のセキュアコーディング標準
+  * [[https://www.securecoding.cert.org/confluence/display/c/SEI+CERT+C+Coding+Standard|SEI CERT C Coding Standard]]
+  * [[https://www.securecoding.cert.org/confluence/pages/viewpage.action?pageId=637|SEI CERT C++ Coding Standard]]
+  * [[https://www.securecoding.cert.org/confluence/display/java/SEI+CERT+Oracle+Coding+Standard+for+Java|SEI CERT Oracle Coding Standard for Java]]