ウェブセキュリティガバナンスの実態調査

• Item type: Symposium(1)
• 公開日: 2020-10-19
• タイトル: ウェブセキュリティガバナンスの実態調査
• タイトル / 言語: en
• タイトル: Measuring Web Security Governance
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: セキュリティガバナンス，JavaScript ライブラリ，ウェブ観測
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: デロイト トーマツ サイバー合同会社
• 著者所属: デロイト トーマツ サイバー合同会社
• 著者所属: デロイト トーマツ サイバー合同会社
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者名: 高田, 雄太; 熊谷, 裕志; 神薗, 雅紀
• 著者名(英): Yuta, Takata; Hiroshi, Kumagai; Masaki, Kamizono
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: ウェブサイトは日に日に複雑性を増し，その管理運用は困難になっている．このような複雑なウェブサイトに対して定期的なメンテナンスを行い，セキュリティ対策を強化することは重要である．しかし，ウェブサイトの一部ページに残存する設定不備や脆弱性が未だに発見されており，それらを狙うサイバー攻撃は後を絶たない．そこで本稿では，セキュリティガバナンスの概念をウェブサイトに新たに適用し，その一環として，ウェブサイトに使用されている設定や技術の統一性を調査する．具体的には，同一ドメイン名の複数ページを分析し，ページ間における HTTP ヘッダのセキュリティ設定やウェブ技術のバージョンの差異を特定する．調査の結果，約40%のウェブサイトに差異が特定され，中にはすべてのページで異なるバージョンの JavaScript ライブラリを使用するウェブサイトが存在した．このようなガバナンス不全に陥る原因を特定し，その改善策を検討する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: While websites are becoming more and more complex daily, the difficulty of managing them is also increasing. It is important to conduct maintenance against these complex websites to strengthen their security. However, misconfigurations and vulnerabilities are still being discovered on some pages of websites and cyberattacks against them are never ending. In this paper, we newly apply the concept of security governance to websites, and, as part of this, measure the consistency of settings and technologies used on these websites. More precisely, we analyze multiple web pages with the same domain name and identify differences in the security settings of HTTP headers and versions of software among them. Our measurement results show that approximately 40% tested websites exhibit differences. For example, we found websites using a JavaScript library with different versions across all pages. We identify causes of such governance failures and propose the improvement plans.
• 書誌情報: コンピュータセキュリティシンポジウム2020論文集; p. 947-954, 発行日 2020-10-19
• 出版者 / 言語: ja
• 出版者: 情報処理学会