脆弱性などの原因に：「最も危険なプログラミングエラー」25種類のリスト発表

　SANS Instituteは1月12日、ソフトウェアの脆弱性発生の原因となる「最も危険なプログラミングエラー」上位25種類のリストを発表した。

　リスト作成には、米SymantecやMicrosoftなどの民間企業、カリフォルニア大学などの学術機関、米国土安全保障省の国家サイバーセキュリティ部門（NCSD）、日本の情報処理推進機構（IPA）などが協力した。「コンポーネント間のセキュアでない相互作用」「危険なリソースマネジメント」「防御の不備」の3分野にわたる計25項目を「最も危険なプログラミングエラー」として挙げた。

　2008年は、このうち2項目だけで150万件のWebサイトセキュリティの問題が発生。問題のあるWebサイトを訪れたユーザーのコンピュータが、攻撃者によって「ゾンビPC」にされたとSANSは指摘。プログラミングエラーはセキュリティ問題を発生させ、サイバースパイやサイバー犯罪につながるものでありながら、コンピュータ科学の課程で広く教えられることがなく、商用ソフトウェアを手掛ける組織でも十分な検証を行っていないと警鐘を鳴らした。

　今回のリスト発表に当たっては、危険なプログラミングエラーを避けるための情報も併せて提供した。「プログラミングエラーのないコードの書き方をすべてのプログラマーが知り、こうした問題を発見、修正、回避するためのプロセスをすべてのプログラミングチームが導入する必要がある」（SANSのメイソン・ブラウン局長）と指摘している。

過去のセキュリティニュース一覧はこちら