Pentester Skillmap Project JP - Revision history

Sen UENO: 「ペネトレーションテストについて」ドキュメント公開

2019-12-08T13:44:25Z

「ペネトレーションテストについて」ドキュメント公開

Sen UENO at 07:30, 15 January 2019

2019-01-15T07:30:33Z

Sen UENO at 07:02, 15 January 2019

2019-01-15T07:02:34Z

Sen UENO at 06:49, 15 January 2019

2019-01-15T06:49:39Z

Sen UENO: Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0 リリース

2019-01-15T06:49:16Z

Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0 リリース

Sen UENO: /* Download */

2018-05-18T09:35:56Z

‎Download

Sen UENO: OWASP Top 10 - 2017のA4 XML外部エンティティ参照（XXE）とA8安全でないデシリアライゼーションに対応したWebアプリケーション脆弱性診断ガイドラインとスキルマップ＆シラバスをリリース

2018-05-18T04:16:47Z

OWASP Top 10 - 2017のA4 XML外部エンティティ参照（XXE）とA8安全でないデシリアライゼーションに対応したWebアプリケーション脆弱性診断ガイドラインとスキルマップ＆シラバスをリリース

Sen UENO: ガイドライン利用のためのドキュメントへのリンク追加

2017-04-24T03:11:16Z

ガイドライン利用のためのドキュメントへのリンク追加

Sen UENO: Webアプリケーション脆弱性診断ガイドライン第1.0版の公開

2017-04-23T13:16:59Z

Webアプリケーション脆弱性診断ガイドライン第1.0版の公開

Sen UENO: Webアプリケーション脆弱性診断ガイドラインリリース準備

2017-04-18T08:29:49Z

Webアプリケーション脆弱性診断ガイドラインリリース準備

← Older revision		Revision as of 13:44, 8 December 2019
Line 4:		Line 4:

	本ワーキンググループに関心のある方は Project leader:[[User:Sen UENO\|Sen UENO]] まで		本ワーキンググループに関心のある方は Project leader:[[User:Sen UENO\|Sen UENO]] まで
		+
		+	= ペネトレーションテストについて =
		+	コンピュータシステムに対して実施するセキュリティテストの1つとして「脆弱性診断」がよく知られています。「脆弱性診断」は本プロジェクトでも紹介しているような脆弱性を発見するためのセキュリティテストの手法です。
		+
		+	一方で最近は「ペネトレーションテスト」を採用する組織や、ペネトレーションテストサービスを提供する事業者（テストベンダー）が増えてきました。
		+	ただ、現状では「ペネトレーションテスト」という名称に共通認識がなく、テストベンダーによっては「脆弱性診断」のことを「ペネトレーションテスト」と呼んでいることもあり、テストを採用する組織が目的に合ったサービスを見分けることが難しくなっています。
		+
		+	本ドキュメントは「ペネトレーションテスト」の位置づけを明確にし、セキュリティテストを活用する組織が実施目的に合うサービスを選択できることを目的としています。
		+
		+	*[https://github.com/ueno1000/about_PenetrationTest ペネトレーションテストについて（2019年12月8日版）]

	= Webシステム／Webアプリケーションセキュリティ要件書 =		= Webシステム／Webアプリケーションセキュリティ要件書 =

@@ Line 7: / Line 7: @@
 = Webシステム／Webアプリケーションセキュリティ要件書 =
 本ワーキンググループが公開する『Webシステム／Webアプリケーションセキュリティ要件書 』ドキュメントは、Webシステム／Webアプリケーションに関して一般的に盛り込むべきと考えられるセキュリティ要件について記載しています。また、開発言語やフレームワークなどに依存することなくご利用いただけます。ただし、ネットワークやホストレベル、運用などに関するセキュリティ要件については記載していません。
 === Download ===
 年1月15日リリース版
-*[https://github.com/ueno1000/secreq Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0]
+*[https://github.com/ueno1000/secreq Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0（GitHub）]
 = Webアプリケーション脆弱性診断ガイドライン =

@@ Line 5: / Line 5: @@
 本ワーキンググループに関心のある方は Project leader:[[User:Sen UENO|Sen UENO]]  まで
-== Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0 ==
+= Webシステム／Webアプリケーションセキュリティ要件書 =
-*本ワーキンググループが公開する『Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0』ドキュメントは、Webシステム／Webアプリケーションに関して一般的に盛り込むべきと考えられるセキュリティ要件について記載しています。また、開発言語やフレームワークなどに依存することなくご利用いただけます。ただし、ネットワークやホストレベル、運用などに関するセキュリティ要件については記載していません。
+本ワーキンググループが公開する『Webシステム／Webアプリケーションセキュリティ要件書 』ドキュメントは、Webシステム／Webアプリケーションに関して一般的に盛り込むべきと考えられるセキュリティ要件について記載しています。また、開発言語やフレームワークなどに依存することなくご利用いただけます。ただし、ネットワークやホストレベル、運用などに関するセキュリティ要件については記載していません。
-*Download: [https://github.com/ueno1000/secreq Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0]
 = Webアプリケーション脆弱性診断ガイドライン =

@@ Line 8: / Line 8: @@
 *本ワーキンググループが公開する『Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0』ドキュメントは、Webシステム／Webアプリケーションに関して一般的に盛り込むべきと考えられるセキュリティ要件について記載しています。また、開発言語やフレームワークなどに依存することなくご利用いただけます。ただし、ネットワークやホストレベル、運用などに関するセキュリティ要件については記載していません。
 *Download: [https://github.com/ueno1000/secreq Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0]
 = Webアプリケーション脆弱性診断ガイドライン =

@@ Line 1: / Line 1: @@
 __NOTOC__
 = 脆弱性診断士スキルマッププロジェクト =
-[http://www.jnsa.org/ 特定非営利活動法人日本ネットワークセキュリティ協会]の[http://isog-j.org/ 日本セキュリティオペレーション事業者協議会]のセキュリティオペレーションガイドラインWG（WG1）と、[[Japan|OWASP Japan]]主催の共同ワーキンググループである 「脆弱性診断士スキルマッププロジェクト （代表 [[User:Sen UENO|上野宣]]）」では、脆弱性診断を行う個人の技術的な能力を具体的にすべく、脆弱性診断を行う技術者（以下、脆弱性診断士）のスキルマップと学習の指針となるシラバス、脆弱性診断を行うためのガイドラインを整備しています。
+[http://www.jnsa.org/ 特定非営利活動法人日本ネットワークセキュリティ協会]の[http://isog-j.org/ 日本セキュリティオペレーション事業者協議会]のセキュリティオペレーションガイドラインWG（WG1）と、[[Japan|OWASP Japan]]主催の共同ワーキンググループである 「脆弱性診断士スキルマッププロジェクト （代表 [[User:Sen UENO|上野宣]]）」では、脆弱性診断を行う個人の技術的な能力を具体的にすべく、脆弱性診断を行う技術者（以下、脆弱性診断士）のスキルマップと学習の指針となるシラバス、脆弱性診断を行うためのガイドライン、Webアプリケーションを安全に構築するために必要な要件定義書などを整備しています。
 本ワーキンググループに関心のある方は Project leader:[[User:Sen UENO|Sen UENO]]  まで
 = Webアプリケーション脆弱性診断ガイドライン =

@@ Line 16: / Line 16: @@
 * [https://github.com/ueno1000/WebAppPentestGuidelines/blob/master/about_WebAppPentestGuidelines.pdf Webアプリケーション脆弱性診断ガイドラインについて]
 * [https://docs.google.com/document/d/1-eZqWf2TqfEwc9f-OZr6bY24VjvNMUwS9zzAejpZQ64/ Webアプリケーション脆弱性診断ガイドライン利用のためのドキュメント]
 = 脆弱性診断士スキルマップ＆シラバス =

@@ Line 11: / Line 11: @@
 === Download ===
-年4月24日リリース版
+年5月18日リリース版
 * [https://github.com/ueno1000/WebAppPentestGuidelines/blob/master/WebAppPentestGuidelines.xlsx Webアプリケーション脆弱性診断ガイドライン（EXCEL版）]
 * [https://github.com/ueno1000/WebAppPentestGuidelines/blob/master/WebAppPentestGuidelines.pdf Webアプリケーション脆弱性診断ガイドライン（PDF版）]
@@ Line 34: / Line 34: @@
 {| class="wikitable"
 !対象者像
-|・自社のWebアプリケーションの脆弱性診断（受入れ検査）を行う方
+|・自社のWebアプリケーション／システムの脆弱性診断（受入れ検査）を行う方
 ・脆弱性診断業務の従事を目指す方（学生など）
@@ Line 50: / Line 50: @@
 {| class="wikitable"
 !対象者像
-|・Webアプリケーションの脆弱性診断（受入れ検査）を行う方
+|・Webアプリケーション／システムの脆弱性診断（受入れ検査）を行う方
 ・脆弱性診断をサービスとして提供する業務に従事する方
 |-
@@ Line 64: / Line 64: @@
 Webアプリケーション/Webシステムに対する脆弱性診断を行う者が対象です。対象者像としては、Webアプリケーション/Webシステムの脆弱性診断を必要とする者、Webアプリケーション/Webシステムの開発者、運用者を想定しています。
 ===Download===
-年3月7日リリース版
+年5月18日リリース版
-*[https://www.owasp.org/images/c/c3/About-Pentester-Web-Skillmap_and_Syllabus-201603.pdf スキルマップ＆シラバスについて(PDF)]
+*[https://github.com/ueno1000/WebAppPentestGuidelines/blob/master/About-Pentester-Web-Skillmap_and_Syllabus.pdf スキルマップ＆シラバスについて(PDF)]
-*[https://www.owasp.org/images/b/bc/Pentester-Web-Skillmap_and_Syllabus-201603.pdf スキルマップ＆シラバス(PDF)]
+*[https://github.com/ueno1000/WebAppPentestGuidelines/blob/master/Pentester-Web-Skillmap_and_Syllabus.pdf スキルマップ＆シラバス(PDF)]
 ==脆弱性診断士（プラットフォーム）スキルマップ＆シラバス==
 システムのプラットフォーム部分に対する脆弱性診断を行う者が対象です。対象者像としては、システムのプラットフォーム部分の脆弱性診断を必要とする者、システムのプラットフォームの構築者、運用者を想定しています。

@@ Line 1: / Line 1: @@
 __NOTOC__
 = 脆弱性診断士スキルマッププロジェクト =
-[http://www.jnsa.org/ 特定非営利活動法人日本ネットワークセキュリティ協会]の[http://isog-j.org/ 日本セキュリティオペレーション事業者協議会]のセキュリティオペレーションガイドラインWG（WG1）と、[[Japan|OWASP Japan]]主催の共同ワーキンググループである 「脆弱性診断士スキルマッププロジェクト （代表 [[User:Sen UENO|上野宣]]）」では、脆弱性診断を行う個人の技術的な能力を具体的にすべく、脆弱性診断を行う技術者（以下、脆弱性診断士）のスキルマップとシラバスを整備しています。
+[http://www.jnsa.org/ 特定非営利活動法人日本ネットワークセキュリティ協会]の[http://isog-j.org/ 日本セキュリティオペレーション事業者協議会]のセキュリティオペレーションガイドラインWG（WG1）と、[[Japan|OWASP Japan]]主催の共同ワーキンググループである 「脆弱性診断士スキルマッププロジェクト （代表 [[User:Sen UENO|上野宣]]）」では、脆弱性診断を行う個人の技術的な能力を具体的にすべく、脆弱性診断を行う技術者（以下、脆弱性診断士）のスキルマップと学習の指針となるシラバス、脆弱性診断を行うためのガイドラインを整備しています。
-本ワーキンググループに関心のある方は Project leader:[[User:Sen_UENO|Sen UENO]]  まで
+本ワーキンググループに関心のある方は Project leader:[[User:Sen UENO|Sen UENO]]  まで
-== 作成方針 ==
+= Webアプリケーション脆弱性診断ガイドライン =
 スキルマップとシラバスの作成を下記の方針に基づいて行っています。
 *脆弱性診断業務に必要な技術的な能力を対象とする
@@ Line 13: / Line 26: @@
 *現在必要だと考えられる技術水準を基に作成する
 *脆弱性診断士が持つべきスキルの指標とするものであり、各社が提供する脆弱性診断サービスの品質については対象外とする
 ==「脆弱性診断士」ランク==
 脆弱性診断士のランクを定義するにあたっては、脆弱性診断業務に従事する者が全員知っておくべき技能（ Silver ランク）と、単独で診断業務を行うために必要な技能（ Gold ランク）を定義した２つのランクに分けています。
-'''Silver ランク'''は Gold ランクの者から指導を受けた上で診断サービスを提供する、もしくは、自社向けに脆弱性診断を実施するための必要スキルとして設定しています。
+=== '''Silver ランク''' ===
-'''Gold ランク'''は業務としての脆弱性診断サービスを提供するチームにおいて、最低限1名以上メンバーに加えるべきスキルとして設定しています。
+・脆弱性診断業務の従事を目指す方（学生など）
-= 脆弱性診断士（Webアプリケーション）=
+==脆弱性診断士（Webアプリケーション）スキルマップ＆シラバス==
 Webアプリケーション/Webシステムに対する脆弱性診断を行う者が対象です。対象者像としては、Webアプリケーション/Webシステムの脆弱性診断を必要とする者、Webアプリケーション/Webシステムの開発者、運用者を想定しています。
+===Download===
 年3月7日リリース版
 *[https://www.owasp.org/images/c/c3/About-Pentester-Web-Skillmap_and_Syllabus-201603.pdf スキルマップ＆シラバスについて(PDF)]
 *[https://www.owasp.org/images/b/bc/Pentester-Web-Skillmap_and_Syllabus-201603.pdf スキルマップ＆シラバス(PDF)]
+==脆弱性診断士（プラットフォーム）スキルマップ＆シラバス==
 システムのプラットフォーム部分に対する脆弱性診断を行う者が対象です。対象者像としては、システムのプラットフォーム部分の脆弱性診断を必要とする者、システムのプラットフォームの構築者、運用者を想定しています。
+===Download===
 年4月19日リリース版
 *[https://www.owasp.org/images/9/90/About-Pentester-Platform-Skillmap_and_Syllabus-201604.pdf スキルマップ＆シラバスについて(PDF)]
 *[https://www.owasp.org/images/4/41/Pentester-Platform-Skillmap_and_Syllabus-201604.pdf スキルマップ＆シラバス(PDF)]