体系的に学ぶ 安全なWebアプリケーションの作り方［発展編］

安全なWebアプリケーションを「作る」から「守り続ける」へ。 設計・レビュー・開発プロセスを担う人に必要な知識を集約！ 『体系的に学ぶ 安全なWebアプリケーションの作り方 第3版』の姉妹編。 攻撃の仕組みの深掘りから、チームでセキュリティを確保する開発プロセスまで学べる。 『第3版』では、開発者が自分のコードを安全に書くために必要な知識を解説しています。本書が扱うのはその先にある、攻撃の仕組みや基盤技術のより深い理解と、設計やレビュー、開発プロセスの運営などです。 生成AIによってコードを書く量が増えるほど、その出力を見て判断し、安全な開発の仕組みを整える人の役割は大きくなります。本書は、ツールやAIに任せきりにせず、セキュリティの本質にもとづいて判断できる力を身につけるための一冊です。 ■本書の主なポイント ・セキュア開発の流れを実践的に学べる サンプルアプリケーションを題材に、依存関係の検査、ソースコードの静的解析、動的な脆弱性検査、手動診断といった工程を、実際に手を動かしながら体験できます。開発プロセスのどこで何を確認すればよいかがわかります。 ・「判断」に踏み込む 検出された脆弱性の優先度づけ、誤検知の扱い、すぐに修正できない場合の対応など、ツールが答えを出してくれない場面での考え方を解説します。 ・リスク分析と設計レビューの考え方を解説 公的機関が体系化したリスク分析手法や、設計段階で脅威を洗い出す方法を、具体例に沿って解説します。 ・ソフトウェアサプライチェーンへの備え 依存関係の脆弱性管理に加え、実際のサプライチェーン攻撃の事例や、生成AIの普及にともなう新しいリスクも取り上げます。 ・ブラウザーセキュリティの仕組みと攻撃を深掘り 同一オリジンポリシー、CORS、CSP、Cookie、JWTなどについて、仕組みの詳細と、それが破られる攻撃の手口を、実習を交えて解説します。「なぜその設定では危ないのか」を説明できる力が身につきます。 ・システム基盤のセキュリティを解説 クラウドやコンテナ、暗号技術とTLS、DNSなど、アプリケーションのコードの外側で起きる問題と対策を解説します。 ・使う技術によって問題になる脆弱性を解説 プロトタイプ汚染、XXE、サーバーサイドテンプレートインジェクションなど、特定の技術や構成で問題になる脆弱性を取り上げます。 ■こんな方におすすめします ・開発チームのセキュリティに責任を持つ開発リーダー、テックリード ・コードや設計のレビュー、脆弱性診断に携わる方 ・開発プロセスにセキュリティを組み込みたいセキュリティ担当者、アーキテクト ・第3版を読み終え、さらに一歩進んだ知識を身につけたい方 1章 セキュア開発の全体像 2章 リスク分析と設計レビュー 3章 依存関係とソフトウェアサプライチェーン 4章 開発パイプラインでの検査と診断 5章 ブラウザーセキュリティを深める 6章 システム基盤のセキュリティ 7章 さまざまな脆弱性