[セキュリティ]OWASP Testing Project

http://umn.dl.sourceforge.net/sourceforge/owasp/OWASPTesting_PhaseOne.pdf
セキュリティチェックを行うための、設計・開発・配置・運用など各フェーズにおけるチェック方法が載ってる。
しかも最後のツール一覧はええーのう。

• Source Code Analyzer (Open Source)
  • RATS http://www.securesoftware.com
  • FlawFinder http://www.dwheeler.com/flawfinder
  • Microsoft’s FXCop http://www.gotdotnet.com/team/fxcop
  • Splint http://splint.org/
  • Boon http://www.cs.berkeley.edu/~daw/boon/
  • Pscan http://www.striker.ottawa.on.ca/~aland/pscan/

• Source Code Analyzer (Commercial)
  • Fortify http://www.fortifysoftware.com
  • Ounce labs Prexis http://www.ouncelabs.com
  • GrammaTech http://www.grammatech.com
  • ParaSoft http://www.parasoft.com
  • ITS4 http://www.cigital.com/its4/
  • CodeWizard http://www.parasoft.com/products/wizard/

• Black Box Scanners(Open Source)
  • SPIKE http://www.immunitysec.com
  • WebScarab http://www.owasp.org
  • Paros http://www.proofsecure.com

• Black Box Scanners(Commercial)
  • ScanDo http://www.kavado.com
  • WebSleuth http://www.sandsprite.com
  • SPI Dynamics http://www.spidynamics.com

• Binary Analysis
  • BugScam http://sourceforge.net/projects/
  • BugScan http://www.hbgary.com

このツール群を見てると、バグ発見ツールもセキュリティチェックの１つとして認識しているなぁ。確かにバグがセキュリティホールにつながることが多いけど、ビジネスロジックのバグは、セキュリティホールって言うより仕様を満たしてないから目的が違うんだよなぁ。でも、ツールとしては重複するから、きっちり分類して考えないといかんね。

でもさぁ。BugScamもBugScanもアクセスできないんだけど・・・