セキュアコーディング実践：開発初期段階からの脆弱性作り込み防止策

// 危険なSQLインジェクションの例
$username = $_POST['username'];
$query = "SELECT * FROM users WHERE username = '$username'";
$result = mysqli_query($connection, $query);

// プリペアドステートメントを使用した安全な実装
$username = $_POST['username'];
$stmt = $connection->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param("s", $username);
$stmt->execute();
$result = $stmt->get_result();

// 危険なコマンドインジェクションの例
String userInput = request.getParameter("filename");
String command = "ls -la " + userInput;
Process process = Runtime.getRuntime().exec(command);

// 引数を配列として渡す安全な実装
String userInput = request.getParameter("filename");
// 入力の検証
if (!Pattern.matches("[a-zA-Z0-9_.]+", userInput)) {
    throw new IllegalArgumentException("Invalid characters in filename");
}
// コマンドと引数を分離
String[] command = {"ls", "-la", userInput};
ProcessBuilder processBuilder = new ProcessBuilder(command);
Process process = processBuilder.start();

// 危険なDOM XSSの例
document.getElementById("userProfile").innerHTML = 
    "<h1>Welcome, " + location.hash.substring(1) + "!</h1>";

// テキストコンテンツとして追加する安全な実装
const username = location.hash.substring(1);
const sanitizedUsername = document.createTextNode(username);
const heading = document.createElement("h1");
heading.appendChild(document.createTextNode("Welcome, "));
heading.appendChild(sanitizedUsername);
heading.appendChild(document.createTextNode("!"));
document.getElementById("userProfile").appendChild(heading);

// Reactは自動的にHTMLエスケープを行う
function UserProfile() {
  const username = location.hash.substring(1);
  return (
    <div>
      <h1>Welcome, {username}!</h1>
    </div>
  );
}

// 脆弱なセッション設定
const express = require('express');
const session = require('express-session');
const app = express();

app.use(session({
  secret: 'keyboard cat',
  resave: false,
  saveUninitialized: true,
  cookie: {}  // デフォルト設定（HTTPSが強制されない）
}));

// セキュアなセッション設定
const express = require('express');
const session = require('express-session');
const app = express();

app.use(session({
  secret: process.env.SESSION_SECRET,  // 環境変数から取得
  resave: false,
  saveUninitialized: false,  // 未初期化セッションを保存しない
  cookie: {
    secure: true,           // HTTPSのみ
    httpOnly: true,         // JavaScriptからアクセス不可
    maxAge: 3600000,        // 1時間
    sameSite: 'strict'      // CSRF保護
  }
}));

# 危険なデシリアライゼーションの例
import pickle
import base64
from flask import Flask, request

app = Flask(__name__)

@app.route('/load_data')
def load_data():
    serialized_data = request.args.get('data')
    # 危険: ユーザー入力を直接デシリアライズ
    original_data = pickle.loads(base64.b64decode(serialized_data))
    return str(original_data)

# 安全なデシリアライゼーション
import json
from flask import Flask, request

app = Flask(__name__)

@app.route('/load_data')
def load_data():
    serialized_data = request.args.get('data')
    try:
        # JSONのようなより安全な形式を使用
        original_data = json.loads(serialized_data)
        # 追加でデータの検証を行う
        if not isinstance(original_data, dict):
            return "Invalid data format", 400
        # 処理を続行
        return str(original_data)
    except json.JSONDecodeError:
        return "Invalid JSON data", 400

✓ 入力検証はすべての外部入力に適用されているか
✓ SQLクエリにはプリペアドステートメントが使用されているか
✓ パスワードなどの機密情報は適切にハッシュ化されているか
✓ エラーメッセージは最小限の情報しか公開していないか
✓ ログには機密情報が含まれていないか
✓ すべての認証・認可チェックが適切に実装されているか
✓ 暗号化アルゴリズムとキー長は最新の推奨事項に準拠しているか
✓ 第三者ライブラリに既知の脆弱性がないか

# .github/workflows/security-scan.yml
name: Security Scan

on:
  push:
    branches: [ main, develop ]
  pull_request:
    branches: [ main ]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2
      
      - name: Set up Java
        uses: actions/setup-java@v2
        with:
          java-version: '11'
          
      - name: SonarQube Scan
        uses: SonarSource/sonarcloud-github-action@master
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}

// package.json
{
  "scripts": {
    "test": "jest",
    "lint": "eslint .",
    "security-check": "npm audit --audit-level=high"
  },
  "husky": {
    "hooks": {
      "pre-commit": "npm run lint",
      "pre-push": "npm run security-check && npm test"
    }
  }
}

[コード変更] → [コミット前チェック] → [ビルド] → [SAST] → [依存関係チェック] → [ユニットテスト] → [DAST] → [デプロイ]

pipeline {
    agent any
    
    stages {
        stage('Build') {
            steps {
                sh 'mvn clean package'
            }
        }
        
        stage('SAST') {
            steps {
                sh 'mvn sonar:sonar'
                // 結果の確認
                script {
                    def qg = waitForQualityGate()
                    if (qg.status != 'OK') {
                        error "静的解析でセキュリティ問題が検出されました。修正してください。"
                    }
                }
            }
        }
        
        stage('Dependency Check') {
            steps {
                sh 'mvn org.owasp:dependency-check-maven:check'
                // 高リスクの脆弱性がある場合はビルド失敗
                script {
                    if (currentBuild.rawBuild.getLog(10000).join('').contains('CVSS Score: [8.0-10.0]')) {
                        error "高リスクの依存関係脆弱性が検出されました。修正してください。"
                    }
                }
            }
        }
        
        stage('Unit Tests') {
            steps {
                sh 'mvn test'
            }
        }
        
        stage('Deploy to Test') {
            steps {
                // テスト環境へのデプロイ
                sh './deploy-to-test.sh'
            }
        }
        
        stage('DAST') {
            steps {
                // 動的スキャンの実行
                sh 'TARGET_URL=https://test.dx-media.example ./dast-scan.sh'
            }
        }
        
        stage('Deploy to Production') {
            when {
                branch 'main'
            }
            steps {
                // 本番環境へのデプロイ
                sh './deploy-to-prod.sh'
            }
        }
    }
}

repos:
-   repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v4.0.1
    hooks:
    -   id: trailing-whitespace
    -   id: end-of-file-fixer
    -   id: check-yaml
    -   id: check-added-large-files
    -   id: detect-private-key  # 秘密鍵のコミット防止
    -   id: detect-aws-credentials  # AWS認証情報のコミット防止

-   repo: https://github.com/pycqa/bandit
    rev: 1.7.0
    hooks:
    -   id: bandit  # Pythonコードのセキュリティチェック
        args: ['-ll', '-ii']

-   repo: local
    hooks:
    -   id: npm-audit
        name: npm-audit
        entry: bash -c 'cd frontend && npm audit --audit-level=high'
        language: system
        files: frontend/package.json