今月11月18日にOWASPは正式に「OWASP Top 10 for LLM Applications」の2025年版を公開しました。 OWASP TOP 10 for LLMは2023年に初版が発表されました。今回の2025年改定版では、最新のLLMリスクやアプリケーションアーキテクチャを考慮して、チャットボットやRAGシステムなどのLLMアプリケーションにおける、主要なセキュリティリスクを明らかにするとともに、それを軽減するための具体的な方策を提示しています。 「OWASP Top 10 for LLMs」の背景OWASP（Open Web Application Security Project）は、ソフトウェアセキュリティに特化した非営利財団およびコミュニティであり、Webアプリケーションセキュリティの業界標準である「OWASP Top Ten」で著名な組織です。 元々の「OWA
はじめに Go Secure Coding Practice とは コンテンツ一覧 良かったところ 注意すべきところ 最後に はじめに こんにちは。SRE の izzii です。 テックタッチのエンジニア規模もそれなりに拡大し、若手の採用も進んできたため、セキュアコーディングを徹底していきたいという思いがあり、まずは意識改革ということで勉強会を実施しました。セキュアコーディングを目的とした場合には教育だけでなく Static application security testing (SAST) の導入といった方法もあるのですが、まずは自分を含めた開発メンバーにノウハウをインストールすることにしました。セキュアコーディングへの意識が高まれば、いづれ SAST の導入の際に抵抗感も少ないだろうと考えています。いきなり SAST を導入しても、誤検知が煩くて浸透しないリスクもありうると考えてい
CycloneDX: The International Standard for Bill of Materials (ECMA-424) The OWASP Foundation and Ecma International Technical Committee for Software & System Transparency (TC54), which includes representatives from Bloomberg, IBM, Lockheed Martin, and ServiceNow, drive the continued advancement of the specification.
Categories overlaps in OWASP Top-10 Methodology Proposal 1. Add SSRF as a new category. Proposal 2. Merge XXE and Insecure Deserialization Proposal 3. Introduce Overall Risk Score Calculating the OWASP Top 10 2021 rating Results and OWASP Top Ten 2017 comparison Everybody knows the OWASP Top-10 as well as the fact that it gets updated only every other 3-4 years. With the last update published in 2
OWASP dependency-check を利用して脆弱性のある Java ライブラリに依存していないか確認する 依存しているライブラリに脆弱性がある場合、それを検出できると嬉しい。 OWASP dependency-check の gradle プラグインを入れると、簡単に検出が可能となる。 設定は以下のようであり、非常に容易である。 buildscript { repositories { mavenCentral() } dependencies { classpath('org.owasp:dependency-check-gradle:3.2.1') } } apply plugin: 'org.owasp.dependencycheck' check.dependsOn dependencyCheckAnalyze // https://jeremylong.github.
I attended the OWASP Top 10 data capture discussion session today at #OWASPSummit2017 in London. Andrew van der Stock lead the session and was asking how we could improve the data collection process, and what we thought the obstacles were to people submitting their data. My answer was that the drama around OWASP "data" collection comes from we project leaders perpetuating the false belief that wha
みなさんこんにちは！ 10/7にサイボウズオフィスにて、BurpSuiteを用いて脆弱性診断をしてみよう！というイベントに参加してきました。 pentest-web.connpass.com 勉強会の参加レポ、第一弾です🌷 ただ、実際にどういうことを教えていただいたか・全体の概略等は 脆弱性診断 初心者ハンズオントレーニング に参加した - 僻地の大学院生の雑記帳 こちらのブログでとても分かりやすく書いてあったので（こんな綺麗でスッと頭に入ってくる文章書けるようになりたい）、 白百合めもでは、会場の雰囲気とか私の感情面（？）のこととかをゆるく書いていこうと思います〜 参加したきっかけ 参加したきっかけは、徳丸さんのツイート↓ 10/07(土)13:00〜17:00サイボウズ株式会社『初心者向けの講座になるため、初心者の方に譲っていただきますようお願いします』<初心に戻って受講しようかと思
森永です。 セキュリティ製品の検証などで脆弱性のあるWebアプリが欲しいということがあります。自分で作るのもいいのですが、手軽に使える"セキュアではない"Webアプリがないかを探してみました。Webアプリのセキュリティに関するコミュニティであるOWASP(Open Web Application Security Project)が「OWASP Juice Shop」という脆弱性のあるWebアプリを公開していたので試してみます。 OWASP Juice Shopとは OWASP(Open Web Application Security Project)が公開しているWebアプリです。OWASPはインパクトのある脆弱性をOWASP Top 10として発表しており、その脆弱性をふんだんに盛り込んだものとなっています。これを使ってセキュリティの検証をしたり、ハードニングのトレーニングをすること
Introduction Index Alphabetical Index ASVS Index MASVS Index Proactive Controls Index Top 10 Cheatsheets Cross-Site Request Forgery Prevention Cheat Sheet¶ Introduction¶ A Cross-Site Request Forgery (CSRF) attack occurs when a malicious web site, email, blog, instant message, or program tricks an authenticated user's web browser into performing an unwanted action on a trusted site. If a target use
OWASP Corporate Supporterに参加 ～事業の海外展開加速に合わせ、グローバル規模でのセキュリティ向上に注力～ サイボウズ株式会社（東京オフィス：東京都中央区、社長：青野 慶久、以下 サイボウズ）は、 2017年1月より、OWASP（Open Web Application Security Project）Corporate Supporterとして活動を開始したことを発表いたします。 OWASP Corporate Supporter参加の背景 OWASP（Open Web Application Security Project、URL: https://www.owasp.org/）は、セキュアなソフトウェア開発を目指すプロフェッショナルたちの情報交換や、普及啓発を目的に設立されたオープンソース・ソフトウェアの団体です。サイボウズは、OWASP の成果物の活用や
昨今のウェブアプリケーションでは、ほとんどの場合、オープンソースのフレームワークやライブラリのような、自社開発ではないパッケージ化された部品（コンポーネント）を組み合わせて構築することでしょう。ですから、もしも既知の脆弱（ぜいじゃく）性が存在するようなコンポーネントを利用してウェブアプリケーションを開発していた場合には、組み込まれたコンポーネントの脆弱性を悪用され、攻撃を受けてしまう可能性が高くなります。 本稿では、ウェブアプリケーションに組み込まれている脆弱性が存在するコンポーネントの洗い出しに有用な、OWASPコミュニティより公開されているツール「OWASP Dependency Check」の概要および利用方法について解説します。 はじめに 本連載の第1回では、ウェブアプリケーションにおける重要なインパクトのある10のセキュリティリスクについてまとめた「OWASP Top 10」につ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
