@inproceedings{oai:ipsj.ixsq.nii.ac.jp:00214547,
 author = {井坂, 佑介 and 天笠, 智哉 and 奥村, 紗名 and 佐々木, 葵 and 野崎, 真之介 and 大木, 哲史 and 西垣, 正勝 and Yusuke, Isaka and Tomoya, Amagasa and Sana, Okumura and Aoi, Sasaki and Shinnosuke, Nozaki and Tetsushi, Ohki and Masakatsu, Nishigaki},
 book = {コンピュータセキュリティシンポジウム2021論文集},
 month = {Oct},
 note = {Web サービスの複雑化に伴い，マイクロサービスアーキテクチャ（MSA）型の Web アプリケーション開発へと移行している．しかし，MSA においては，マイクロサービス同士を組み上げる際に，各マイクロサービスが持つセキュリティポリシによってコンフリクトが発生し得るため，セキュリティバイデザインの実現に課題を抱えている．この課題に対処する方法としては，セキュリティガイドラインの運用によってマイクロサービス間のセキュリティポリシを共通化する方法や，APIGateway によってセキュリティポリシの調停を行う方法が挙げられる．しかし，セキュリティガイドラインの導入は，サービスの開発に注力したい開発者にとって技術的及び作業的負担が大きいという問題がある．また，DOMBasedXSS 攻撃のようにフロントエンドで攻撃が完結するものに対しては，APIGateway での調停が機能しないという問題がある．そこで，本稿では，MSA 型の Web アプリケーションの開発において，テストベースホワイトリストを採用することで，開発テストを通じてマイクロサービス同士の調停を開発者が意識せずに達成することを提案する．, As the complexity of Web services increases, Web application developments are migrating to microservice architecture (MSA). However, in MSA, the security policies of each microservice may conflict each other when assembling microservices, which poses a challenge in achieving security-by-design. There are two ways to deal with this challenge: one is to standardize security policies among microservices by implementing secure programing guidelines, and the other is to mediate security policies among microservices by using API Gateway. However, the introduction of secure programing guidelines is technically and operationally burdensome for developers. In addition, mediation using the API Gateway doesn't work for attacks that are completed in the front-end, such as DOM Based XSS attacks. Therefore, in this paper, we propose to apply Examination-based Whitelist in the development of MSA-based Web applications, where mediation of conflict in security policies between microservices is achieved through development tests without the developer taking care of it.},
 pages = {1101--1107},
 publisher = {情報処理学会},
 title = {マイクロサービスアーキテクチャにおけるDOM Based XSS攻撃に対するテストベースホワイトリストの有用性},
 year = {2021}
}