セキュアブレイン、ITインフラ・Webアプリ診断を行う「セキュリティ診断サービス」にソースコード診断を追加

　「セキュリティ診断サービス」のソースコード診断では、最新のサイバー攻撃の調査・研究を行っているセキュアブレインのエンジニアがWebアプリケーションのソースコード自体を診断し、脆弱性を検出し対策方法を報告する。開発中または稼働中のソースコードを解析することにより、Webサーバに影響なく安全に診断することができる。

　動的な診断では見つけられない脆弱性（内部不正者やバックドアなどの攻撃）も検出可能で、セキュリティの問題だけでなく「リソースの解放漏れ」や「メモリーの競合」などアプリケーションの可用性、信頼性に関する問題も検出可能だという。ソースコードのどの部分に脆弱性があるのか、具体的なファイル名や行番号なども報告する。また、修正すべき箇所が多数存在する場合、最も効率のよい修正箇所を報告するため、修正に必要な工数を削減することができるという。

　■検出可能な脆弱性

• SQLインジェクション
• セッション固定攻撃
• クロスサイト・スクリプティング
• セッションポイズニング
• コードインジェクション
• 補足されていない例外
• バッファオーバーフロー
• 解放されていないリソース
• パラメータの改ざん
• 検証されていない入力
• クロスサイトリクエストフォージェリ
• URLリダイレクト攻撃
• HTTPレスポンスの分割
• 危険なファイルアップロード
• ログの偽装
• ハードコーディングされたパスワード
• DoS攻撃

　■対応言語

Java、Apex and VisualForce、C#、Ruby、JavaScript、VBScript、VB.NET、Perl、ASP、HTML5、VB6、Python、PHP、Groovy、C/C++、Scala、Android (Java)、PL/SQL、Objective C、GO、Swift

　■サポートするセキュリティガイドライン

OWASP Top 10、SANS、PCI DSS、HIPAA、CWE COMPATIBLE、BSIMM