ビルトイン・セキュリティのススメ Dev Days 2015 Tokyo - Riotaro OKADA
•
6 likes•1,688 views
Stackoverflow Dev Days 2015 in Tokyoのスピーチ 「ビルトイン・セキュリティのススメ」
Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to ビルトイン・セキュリティのススメ Dev Days 2015 Tokyo - Riotaro OKADA
Similar to ビルトイン・セキュリティのススメ Dev Days 2015 Tokyo - Riotaro OKADA (20)
More from Riotaro OKADA
More from Riotaro OKADA (11)
ビルトイン・セキュリティのススメ Dev Days 2015 Tokyo - Riotaro OKADA
- 1. @okdt @owaspjapan Hello | Enabling Security for Developers | ©2015 Asterisk Research, Inc. 1
- 4. つくるスキル vs 壊すスキル PRIORITY Social Impact Business decisions FULL-STACK H/W Network Application Database Users RISK Point of failure Unauthorized access Disasters Absence of key person COMMU- NICATION Team Stakeholders Government Community 4
- 5. 材料にこだわらないクスリ
- 7. ソフトウェアのサプライチェインは？ Screen Shot 2015-‐08-‐14 at 19.54.28.png
- 8. 8 1963 / 249420 = 0.0078…. Less than 1%
- 9. Keynote: Facebook CSO Alex Stamos
- 11. “最大のリスク要因” ©2015 Asterisk Research, Inc. 11 RMS Titanic deparOng Southampton on April 10, 1912. (Photo: CreaOve Commons)
- 12. Intel Edison SD Card size PC Bluetooth/LE Wi-‐Fi 24x32x2.1mm 22nm 500MHz Linux 1GB RAM 4GB storage Dual Core IA “コンピュータやスマートフォンのみならず、椅子や コーヒーメーカーや、マグカップまでがネットワークデ バイスになります。” hHp://www.intel.com/content/www/us/en/do-‐it-‐yourself/edison.html
- 14. 検索: “OWASP Japan ブログ”
- 17. ホールインしやすい スタート地点から どうぞ。 1. 設計 2. 開発 3. ビルド 4. テスト 5. リリース
- 18. OWASP Top 10
- 21. Level 1: OpportunisOc (簡単に見つかるレベル)
- 22. Level 2: Standard (標準的なレベル) ・”Detailed VerificaOon Requirements” ・OWASP Top 10をカバー ・ビジネスロジックも検証
- 23. Level 3: Advanced (より進んだ脆弱性に対応)
- 24. それ以上: L3+ • ASVS L3 + – アプリケーション・スコープを超えたオプション・テ スト – サードパーティのモジュールへのテスト – ミッションクリティカルなシステムでは必要となるこ とがある。
- 25. V2. AuthenOcaOon VerificaOon Requirements Level 1 V2.1 基本的な使い方 V2.2 パスワードEchoなし V2.6 安全にフェイルする Level 2 V2.12 認証のロギング V2.13 Salt、暗号化 Level 3 V2.5 認証制御の実装 の（外部連携を含め） 集中化実装 V数字.数字 によるテスト項目のIdenOfyもバージョン間で継承される
- 26. V8. Error Handling and Logging Level 1 V8.1 攻撃者を支援し兼 ねないエラーメッセージ、 スタックトレースを出力し ない Level 2 V8.2 全エラーハンドリン グがサーバー上で実装 V8.8 セキュリティログは 認証されていないアクセ スや改ざんから保護され ていること Level 3 V8.9 ログを閲覧するソフ トウェア上で、信頼できな いデータを含むすべての イベントが、コードとして 実行されないこと V数字.数字 によるテスト項目のIdenOfyもバージョン間で継承される
- 28. OWASP ProActive Controls ProacOve Controls 脆弱性を事前に除去または低減しよう!
- 29. OWASP Internet of Things Top 10 hHps://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project I1 安全でないウェブインターフェース I2 欠陥のある認証・認可機構 I3 安全でないネットワークサービス I4 通信路の暗号化の欠如 I5 プライバシー I6 安全でないクラウドインターフェース I7 弱いモバイルインターフェース I8 設定の不備 I9 ソフトウェア・ファームウェアの問題 I10 物理的な問題
- 30. 本日、持ってきました。保存版 OWASP IoT Top 10 リスク概要編 日本語版
- 31. OWASP Cheat Sheet Project No チートシート 1 Webアプリの認証に関するチートシート 2 ユーザーがパスワードを忘れた場合の措置に関するチートシート 3 Webアプリにおけるログの取得などに関するチートシート 4 パスワードなどの保持に関するチートシート 5 PHPにおけるセキュリティ対策に関するチートシート 6 セキュアコーディングに関するチートシート 7 SQLインジェクション対策に関するチートシート 8 XSS対策に関するチートシート 9 ・・・・
- 34. ZAPがサーバにアクセス、脆弱性有無を⾃自動判断 テスター ウェブサーバ POST /confirm.php HTTP/1.1 （中略略） Cookie: PHPSESSID=xxxxxx name=shonantoka”>xss&mail=shonantoka %40example.org&gender=1 リクエスト レスポンス <html><body> ⽒氏名：shonantoka”>xss<br> メール：shonantoka@example.org<br> 性別：男<br> <from action=“register” method=“POST”> ZAP
- 35. つまり開発成果物の価値が効率良く向上するサイクル 見つけるだけではなく、修正し、改善していくコミュニティ | Enabling Security for Developers | ©2015 Asterisk Research, Inc. 35 1. Find risky coding and vulnerabiliOes earlier セキュリティ問題を潜在を早期発見 2. Fix & Prevent them リスクのあるコーディングを修正・未然に防ぐ 3. Improved educa8on and quality throughout SDLC 開発ライフサイクルを通してソフトウェア品質向上
- 36. OWASP Kyushu 2015.3〜～ OWASP Kansai 2014.3〜～ OWASP Japan 2012.3〜～ OWASP Sendai New 国内には⾸首都圏をはじめ、4つのチャプターが存在 OWASP ⽇日本
- 38. 22 OWASP Japan Local Chapter MeeOngs Reasons for holding OWASP Global AppSec in Japan – OWASP Japan Local Chapter – 2013.3.1
- 40. まとめ • 最大のリスクは「思い込み」。 – リスクは自分の中にある – コミュニケーションのレバレッジ • ビルトイン・セキュリティ – ひとりよがりなコーディングをやめよう – 共通言語を持とう • コラボレーションが効く。 – 巨人の肩に乗れ – ハチドリのひとしずく 40
- 41. OWASP Japan 岡田良太郎 公共関連の活動（抜粋） • 沖縄サイバーセキュリティネットワークアドバイザ（内閣府沖縄総合事務局、現任） • 政府調達担当向けサイバー演習評価委員（総務省、現任） • セキュリティキャンプ インストラクタ (経済産業省、現任) • マレーシア政府セキュリティイニシアチブ・インストラクタ（外務省、2015年） • 総務省IT調達研修 (総務省)、自治体IT調達調査担当 (IPA、2013年) ビジネスを持続・向上させる「セキュリティ」を実現可能にする取組みをしています。 グローバル コミュニティ 攻撃対策・堅牢化 災害緊急対応 セキュア開発の 超効率化
- 42. | Enabling Security for Developers | ©2015 Asterisk Research, Inc. 42
- 43. @okdt @owaspjapan Thank you | Enabling Security for Developers | ©2015 Asterisk Research, Inc. 43