ニュースリリース

2014年10月27日
株式会社日立ソリューションズ

１． 標準セキュアコーディングルールの追加

　「anyWarp CodeDirector」は、一般的な標準セキュアコーディングルールにより、ソースコードの脆弱性を検知しています。最新版では、例えば以下のルールにより、DIコンテナで動作するアプリケーション特有の脆弱性を含むソースコードを検知し、排除することができます。

（１） インスタンス化が禁止されたクラスのオブジェクト生成を検知

　DIコンテナで管理されたクラスは、一般にソースコード中では明示的なインスタンス化が禁止されます。クラス宣言に含まれる特定のアノテーションによりDIコンテナで管理されたクラスを識別することで、明示的なインスタンス化が禁止されたクラスのオブジェクトを生成するような不適切な記述を検知します。

（２） 値の代入が禁止されたフィールドへの代入文を検知

　DIコンテナで管理されたフィールドは、一般にソースコード中では明示的な値の代入が禁止されます。フィールド宣言に含まれる特定のアノテーションによりDIコンテナで管理されたフィールドを識別することで、値の代入が禁止されたフィールドに対する代入文のような不適切な記述を検知します。

（３） 複数のスレッドで共有されるオブジェクトのフィールド宣言を検知

　DIコンテナで管理されたクラスのオブジェクトには、複数のスレッドで共有されるものがあります。こうした複数のスレッドで共有されるオブジェクトにフィールドが宣言されていると、本来別のスレッドに公開すべきでないデータが漏洩するといった脆弱性が存在します。クラス宣言に含まれる特定のアノテーションにより複数のスレッドで共有されるクラスであることを識別し、そのようなクラスに含まれるフィールド宣言のような不適切な記述を検知します。

２． 設定ファイル関連ルールの追加

　「anyWarp CodeDirector」では、従来JavaとJSPのソースコードをインスペクションの対象としていました。最新版では、それらに加えてWebアプリケーションの配備記述子 (web.xml)やプロパティファイル(*.properties)などの、アプリケーションの動作に対する設定ファイルをインスペクションするルールを追加しました。これにより、例えば以下のような問題を検知し、ソースコードのみならず設定ファイルに起因する脆弱性についても排除することで、堅牢なアプリケーション開発を実現します。

（１） Webアプリケーションのロールが正しく設定されていないことを検知
（２） Webアプリケーションの認証制約が正しく設定されていないことを検知
（３） プロパティ名が重複する等プロパティ設定の矛盾を検知

2014年10月28日

日立ソリューションズにおいても、テストの効率化に長年取り組んでおり、プログラミングから総合テストの各段階でテスト支援ツールを利用しています。これらのツールをスイート製品として提供するのが「anyWarp TestSuite」です。
　本ツール群は大きく以下5つのツールに分かれています。ドキュメントレビュー支援ツール「Review Coordinator」で設計時の効率・品質向上を、集中型Javaコードインスペクションツール「anyWarp CodeDirector」でプログラミング時の品質向上を、回帰テスト自動実行ツール「anyWarp Capture/Replay」および手動テスト支援ツール「anyWarp Capture/Replay Assist」で総合テストの効率・品質向上を、Webシステム性能測定ツール「Assam WebBench」で総合テスト時、運用開始後のシステムの性能監視を行うことで、設計から総合テストにわたって、テスト効率・品質向上を支援します。

anyWarp CodeDirector：　http://www.hitachi-solutions.co.jp/anywarp_codedirector/
anyWarp TestSuite：　http://www.hitachi-solutions.co.jp/testsuite/

• 印刷される方はこちらをご覧ください（PDF形式 374KB）