• 関数が受け取る引数の数、型が正確である
• 引数は、バッファサイズの制限内である
• 環境変数で渡される引数のチェック
• mail()関数が受け取る引数のチェック
• 終端の Null もバッファサイズに含まれている

    gets(line) -> fgets(line, sizeof(line), stdin)
    strcpy()   -> strncpy()
    strcat()   -> strncat()
    sprintf()  -> snprintf()

    ptr = (int*)calloc(10, sizeof(int));        /* メモリを割り当てる */
    ...
    ptr2 = (int*)realloc(ptr, sizeof(int));     /* 再取得 */
    if ( ptr2 == NULL ) {
        free(ptr);        /* 再取得に失敗の場合、元の領域は有効なままなので解放する */
        return -1;
    }
    ptr = ptr2;
    ...
    free(ptr);

また、もっと安全にメモリを動的に取得するための実装として Forrest J. Cavalier III 氏による「Libmib Allocated String Functions」 がある。

• 現在の環境をプログラムに渡す必要がある場合、必要な環境変数をチェックし、不要な環境変数を無効にする。必要とされる環境変数でも、きちんとチェックする。特にタイムゾーン(TZ) やロケール(locale) に関する環境変数。
• envp をクリーンアップするよりも、新しく envp を用意して exec() に渡す。
• 発信したシグナルが必ず受け取り可能な状態に設定されているようにする。
• umask を適切に設定する。
• プログラム起動時に、適切なディレクトリーについて明示的に chdir() を実行する。
• 制限を設ける必要のあるものはすべて設定する。オープンできるファイル数やスタックサイズ、limit など。

• 作成する場合、open()システムコールで O_CREAT | O_EXCL フラグを使用して一時ファイルを作る。
• パーミッションをチェックし、他人に編集アクセスされないようにモードやオーナーを変更する。
• ファイル名の指定は、フルパスで指定し誰でも自由に読み書きできるディレクトリーは避ける。たとえば、スティッキービットのセットされたディレクトリーを利用する（古い System V では動作しないがＳＧＩＤでうまくいくかも...とりあえず古い UNIX ではダメ！）。

• プロセスフルを避けるために、同時に一人のユーザーが実行できる最大プロセス数の設定。（MAXUPROC：ただし root ユーザー以外のユーザーが対象）
• ディスクフル攻撃や i-ノードの使い尽くしを避けるために、クォータシステムを導入。
• 適切なスワップ領域の確保。
• /tmp ディレクトリーにあるファイルの定期的な掃除。
• ソフトプロセスリミットの利用。

    setuid(0);                           /* root になる */
    fd = open("/etc/abcfile", O_RDONLY);
    setuid(-1);                          /* root を止める */
    if (fd < 0) error();                 /* エラー処理 */

    putenv("PATH=/bin:/usr/bin:/usr/ucb");
    putenv("IFS= \t\n");

• プログラムはスタティックリンクにする。
• どうしてもダイナミックリンクしか利用できない場合、chｒoot()システムコールで制限したディレクトリー内に共有ライブラリーのコピーを置く。
• さらに、syslog()関数を利用する場合、chroot() システムコールを呼び出す前に openlog()関数を呼び出すか、chroot()システムコールで制限したディレクトリー内に /dev/logデバイスファイルを用意する必要がある。

• 乱数である数値の各ビットが、0である可能性と 1である可能性が等しくなければならない。
• 乱数では、0の次のビットが、0である可能性と 1である可能性が等しくなければならない。1の次のビットについても同様。
• ビット数が大きい乱数では、ほぼ半数のビットが 0、残りの半数が 1でなければならない。

• 最も重要なのは、予測不可能でなければならない。
• 限られた領域を seed としてはならない。UNIX の rand()関数は利用しない。
• UNIX の random(), drand48()関数は、ゲームなどのプログラムには良いがセキュリティー関連のプログラムには適さない。
• システムのクロックのみに頼ってはいけない（意外と正確ではないので）。
• Ethernetアドレスや MACアドレスなどの法則性のある番号は利用しない。
• 大規模なデーターベースからランダムに選択して seed として利用するのは、悪意のあるものに操作される恐れがあるので避ける。

• 放射線源、熱音源などのような、もともとランダム性を持つものから得る。
• ユーザーのタイプするキーストロークの間隔時間を収集する。
• マウスの移動を利用する。
• 仮想メモリページ数やネットワークのステータスのような、簡単に利用できる上、常にランダムに変化する情報を利用する。
• /dev/audio デバイスが拾うランダムな電気ノイズを利用する。その際に、十分に圧縮して系統だったゆがみを取り除くことでさらにランダム性が増します。
  (cat /dev/audio | compress - > file)
• Linux では /dev/random, /dev/urandom というデバイスがあり、かなりランダム性の高い乱数を生成します。通常、キーボード・ドライバーのようなデバイス・ドライバーから発生します。
• Don Mitchell 氏と Matt Blaze 氏が開発したTrueRand を利用する。TrueRandは、システム・クロックとプロセッサーの割り込み発生との間のドリフトを測定するといった(アイドル状態の時も含めた) CPU の状態のランダム性を利用します。オリジナルソースと改変したソース。ただし、TrueRand は、偏りを取り除く操作を行わないので、出力データをランダム・プール（エントロピー・プール）に混入し MD5 でハッシュしてから使用するなどのような事後処理が必要です。
• MD5のようなハッシュ関数では逆からたどられる（計算上は不可能とされている）のではと不安があるなら、ハッシュ関数に依存しない疑似乱数ジェネレーター（Blum Blum Shub ジェネレーターなど）を利用する。