「ウェブアプリの脆弱性にどう対応してますか?」記事へのコメント

セキュリティは防御だけでは不完全。。。

[Non Skill (25960)]

他レスにもあるように、
とりあえず入出力のサニタイズですかね。。

後出来る限りPreapareでのDBアクセス。
ただDBアクセスせずに式入力(そんなのあるか？)みたいなのだとコマンドインジェクションも。。。
やはりサニタイズ？？

ただ、それでも漏れはありますし、プラットホームの脆弱性でサニタイズだけでは対応できないこともありますから。
おきた場合の対処のマニュアルも重要。

>慢心した馬鹿。

ええ。思います。
オフとぴ気味、別議論になりそうですが、セキュリティ対策とは侵入対策、改竄対策、ウィルス感染対策などの受けだけを、また技術的防御策だけを指すもので

Re:セキュリティは防御だけでは不完全。。。

[kokugojiten (22778)]

感染、改竄に気がついた後運営していた間->カカクコムはユーザーから見て完全な加害者。ユーザーの感染の責任の大半はカカクコム

　被害者は被害認識後、適切な対応が出来ないと加害者ですか・・。ほんとに迷惑な被害だな。
　攻撃者は「今対応することを強制」することができるんだもんね。

Re:セキュリティは防御だけでは不完全。。。

[Non Skill (25960)]

知識の低い一般ユーザーならば、まだ許せるが

”最高のセキュリティ対策”を詠ってるIT企業なら2次感染対策は当たり前でしょう。 ”今対応すること”も。 (自分が感染し2次感染がおきることがわかっていた上で)何も対策せず、多くのユーザーの2次感染を引き起こしたのですから、言い訳は効かない。

今回のカカクコムの一番の間違いは個人的にはここだ

Re:セキュリティは防御だけでは不完全。。。

[kokugojiten (22778)]

>”最高のセキュリティ対策”を詠ってるIT企業なら2次感染対策は当たり前でしょう。 ”今対応すること”も。 (自分が感染し2次感染がおきることがわかっていた上で)何も対策せず、多くのユーザーの2次感染を引き起こしたのですから、言い訳は効かない。

＃いくらやっても平行線でしょうな。

としたうえで

見物客からは金取らないで直接経済的な利益のある情報を与えるサービスで

「知ってて理解してて対策出来てる」事や
「非常時にどうするかをあらかじめ　ないしは　納得されるほど迅速に的確な対応をするための知識や知恵を持ってて適用する」

事を要求するってのは　どうも「知ってる側」のエゴのようなきがするんで

Re:セキュリティは防御だけでは不完全。。。

[Non Skill (25960)]

＞ステークホルダー様が（彼らにとって訳のわからない）サイトの停止にお怒りなすったでしょう

ならば２次感染者を故意に出していいとでも？

>また技術者にしても、結果的に対策できなかったカカクコムの技術力はばれてしまったわけですが、そんなピンチの超高緊張時にゃ　技術者も技術的な問題の対策力も調査力も判断力も半減ですよ。

だからこそ一時的に止めた上でログなり何なりを元に、ゆっくり調査・対策すべき。
結果的にその方が判断力の回復が早い。
ログすら取ってないんなら、運用として最悪。