Interstage Application Server セキュリティシステム運用ガイド

1.1.3.8 アプリケーションプログラミング

　業務サーバで運用するアプリケーションは、バッファオーバフローやXSS(Cross Site Scripting)の脆弱性を残さず、セキュアにプログラミングされていることを確認してください。

　これはInterstage シングル・サインオンを使用する場合に限らず、Webアプリケーションに一般的に求められる対策です。

　また、Interstageで提供しているシングル・サインオンJavaAPIを使用する場合には、以下のような脅威が考えられますので、各脅威に対する対処を実施してください。

シングル・サインオンJavaAPIを使用したサーブレットアプリケーションの場合

加えられる可能性のある脅威	対策
アプリケーションの改ざん	IJServerの運用を行うアカウントのパスワードの漏洩や採取に備えパスワードの定期的な変更を行ってください。
アプリケーションの破壊	定期的なデータバックアップの実施をしてください。
クレデンシャル情報およびUID／PASSWORDの漏洩	WebサーバをSSLで運用してください。 Webサーバのアクセスログファイルに対するアクセス権限を必要最低限に設定してください。 FORMのメソッドにGETを使用せずにPOSTを使用してください。
定義ファイル(ログイン構成ファイル)の改ざん・暴露	運用資源に対するアクセス権限を必要最小限にしてください。
定義ファイル(ログイン構成ファイル)の破壊	定期的なデータバックアップの実施をしてください。