GraphQL診断ガイドライン

構築済みのドキュメントはこちら：https://wg1.isog-j.org/graphQLGuideLine/

本ドキュメントの目的

本書は、ISOG-J WG1 の新技術に対する診断手法分科会によってまとめられたGraphQLに関する脆弱性診断のガイドラインです。

2015年にFacebook社によって開発されたGraphQLは、近年、日本においても普及が進んでおり、その特性を活かしてさまざまなアプリケーションのサーバサイドを支える技術として採用されています。一方で、実装によってはGraphQLの処理に起因する脆弱性が作りこまれてしまう恐れがあります。また、クロスサイトスクリプティングやSQLインジェクション等の一般的なWebアプリケーションの脆弱性についても合わせて考慮する必要があります。

そこで本書では、まず脆弱性を診断する視点から各脆弱性の概要を説明します。そして、開発者も自分でテストできるように診断手法や、実際に報告された脆弱性の事例についても記載しています。なお、一般的なWebアプリケーションの脆弱性については本書では紹介にとどめているため、「Webアプリケーション脆弱性診断ガイドライン」等と合わせて読むことを推奨します。

執筆者一覧 (敬称略、順不同)

• 三井物産セキュアディレクション株式会社　廣田 一貴
• 三井物産セキュアディレクション株式会社　山本 健太
• 三井物産セキュアディレクション株式会社　洲崎 俊
• 株式会社セキュアスカイ・テクノロジー　岩間 湧
• NRIセキュアテクノロジーズ株式会社　田中 悠一郎
• LINE株式会社　林 義徳

本プロジェクトに関わる組織について

NPO日本ネットワークセキュリティ協会（JNSA）について

NPO日本ネットワークセキュリティ協会は、ネットワーク・セキュリティ製品を提供しているベンダー、システムインテグレータ、インターネットプロバイダ等ネットワークセキュリティシステムに携わるベンダーが結集し、ネットワーク社会の情報セキュリティレベルの維持・向上および日本における情報セキュリティ意識の啓発に努めるとともに、最新の情報セキュリティ技術および情報セキュリティへの脅威に関する情報提供等を行うことで、情報化社会へ貢献することを目的としています。

http://www.jnsa.org/

日本セキュリティオペレーション事業者協議会（ISOG-J）について

日本セキュリティオペレーション事業者協議会（Information Security Operation providers Group Japan 略称: ISOG-J）は、セキュリティオペレーション技術向上、オペレータ人材育成および関係する組織・団体間の連携を推進することによって、セキュリティオペレーションサービスの普及とサービスレベルの向上を促し、安全で安心して利用できるIT環境実現に寄与することを目的として設立されました。

http://isog-j.org/

本プロジェクトに関するお問い合わせ先

本プロジェクトに関して質問や要望、改善すべき点や感想等ございましたら、本GitHubのIssueにてご連絡いただけますと幸いです。