第4-3章(12 / 23)第4部:攻撃対象の削減と運用の堅牢性

公開前の全数検査と、公開後の確認をつなぐ

本章の論点(Question)
自動検査は、どの種類の事故を見つけられますか。
本章の命題(Assertion)
生成したファイルを公開前に検査し、配置後も照合します。自動検査の合格は、すべての事故が起きないという保証ではありません。

生成したファイルを公開前に検査し、配置後も照合します。自動検査の合格は、すべての事故が起きないという保証ではありません。

公開前の全数検査と、公開後の確認をつなぐの要点
生成したファイルを公開前に検査し、配置後も照合します。自動検査の合格は、すべての事故が起きないという保証ではありません。

生成物を公開前に検査する

静的生成では、公開するHTMLや画像を手元で確認できます。対象を列挙し、内部リンク、画像参照、公開してはいけない文字列などを検査できます。

全数検査とは、対象として列挙した項目を漏れなく調べることです。文章の事実誤認、読みにくさ、将来の障害など、検査項目にしていない問題まで発見する意味ではありません。

原本と派生物を区別する

原稿の取得元や監査済みデータのハッシュを残します。デザイン変更した図解は、原本を書き換えたことにせず、元の版と派生物の版を分けて記録します。

不一致が出たら、意図した変更か、古い成果物か、未知の変更かを調べます。通すために検査を外すのではなく、変更の根拠と対象を確認してから記録を更新します。

公開後も照合する

配置するファイル一覧を凍結し、変更前のデータを退避します。配置後は実際のHTTP応答と承認したファイルを照合し、ブラウザで操作を確かめます。

リンクやハッシュが合っていても、画像拡大の二重動作のような操作上の不具合は残り得ます。静的な検査と実際の操作の検証を組み合わせます。

参考資料

考え方や情報基盤の設計を組織へ導入する講演・研修も承っています。ホワイトペーパー目次・講演・研修・お問い合わせ