テクニカルエンジニア（セキュリティ）

まだ、勉強するための本を買っていないので出題範囲などよくわかっていないのですが、(id:TakamiChie)によると、セキュアプログラミングとして、Perl,C++,Javaが出題されるようである。
セキュアプログラミングね。たしか、IPAのコンテンツの一つとしてこんなのがあったなと思い出して、みてみる。

IPA セキュア・プログラミング講座：IPA 独立行政法人 情報処理推進機構

IPA自身のコンテンツでこんなことが書いてあるので、きっとその辺のことが出てくるに違いないと思う。項目をメモしてみる。

• 共通編(Web)
  • クライアント側チェックは安全でない。
  • クロスサイトスクリプティング
  • Webページとユーザ認証
  • リクエストリングから情報が漏れる
  • hiddenは危険
  • Webフォームの選択項目が危ない

• 共通編(データベース)
  • SQL組み立て時の引数チェック
  • スクリプトに埋め込まれたDBパスワード
  • データベースとアクセス権

• 言語編(Java)
  • 危険なクラスたち
  • カプセル化のすすめ
  • シリアル化と情報漏洩
  • クラス継承となりすまし
  • Javaのアサーション
  • synchronizedとレースコンディション

• 言語編(Perl)
  • ファイルオープン時のパスにご用心
  • Perlの危険な関数
  • PerlのTaintモード（汚染検出モード）

• 言語編(VBScript/ASP)
  • Requestへのアクセスは慎重に
  • 仮想パスのマッピング
  • セッションタイムアウト

• 言語編(C/C++)
  • バッファオーバーランその1「こうして起こる」
  • バッファオーバーランその2「危険な関数たち」
  • 文字列処理の落とし穴
  • サブシェル呼び出しは慎重に
  • メモリリーク
  • C++デストラクタによる安全な資源解放

• プラットホーム編(Unix/Linux)
  • シンボリックリンクの悪用
  • PATH変数/子プロセスのすり替え
  • setuidは慎重に
  • Unixのレースコンディション
  • coreファイルから情報が漏れる
  • Unixパス名の安全対策
  • テンポラリファイルから情報が漏れる

• プラットホーム編(Windows)
  • Windowsパス名の落とし穴
  • プロセス間通信とバックドア
  • NTFSのセキュリティ機能と落とし穴

• 方法論編(セキュアな実装)
  • パスワードの取り扱い
  • 入力値チェックの手法
  • エラーメッセージからの情報漏洩
  • 特権処理の局所化

• 方法論編(より強固なソフトウェア構築)
  • 設計段階からのセキュリティ
  • 再利用と部品化
  • モジュール分割は何度も練る

こんなところか。とりあえず、IPAの資料だけに重要度は高いといえる。