SOSAISEC LT 201701 シフトレフトでセキュリティイニシアチブを取り返そう
•
3 likes•1,841 views
関西のセキュリティとグローバル 改め 「シフトレフトなんやで！」
Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (9)
Similar to SOSAISEC LT 201701 シフトレフトでセキュリティイニシアチブを取り返そう
Similar to SOSAISEC LT 201701 シフトレフトでセキュリティイニシアチブを取り返そう (20)
More from Riotaro OKADA
More from Riotaro OKADA (11)
SOSAISEC LT 201701 シフトレフトでセキュリティイニシアチブを取り返そう
- 1. OWASP Japan Chapter Lead
- 2. OWASP - Open Web Application Security Project と は mission: ソフトウェアセキュリティについて 意思決定をする人のために役立つ十分な情報を 提供すること • 技術者、ビジネスオーナ、ユーザ • ソフトウェアに関する技術・セキュアプロセス • 現状理解・普及啓発・適用推進 • オープンソース・コミュニティベースで実現
- 5. OWASP FUKUSHIMA 2016 金子正人・山寺純 OWASP SENDAI 2015 小笠貴晴 OWASP KYUSHU 2015 服部 祐一・花田智洋 OWASP KANSAI 2014 長谷川陽介・斉藤太一・三木剛 OWASP JAPAN 2011 岡田良太郎・上野宣 日本のチャプター (地域の集まり)
- 6. OWASP Top 10 容易 x 甚大な影響を及ぼす脆弱性。 6 A1 – インジェクション A2 – 認証とセッション管理の不備 A3 – クロスサイトスクリプティング (XSS) A4 – 安全でないオブジェクト直接参照 A5 – セキュリティ設定のミス A6 – 機密データの露出 A7 – 機能レベルアクセス制御の欠落 A8 – クロスサイトリクエストフォージェリ(CSRF) A9 – 既知の脆弱性を持つコンポーネントの使用 A10 – 未検証のリダイレクトとフォーワード
- 7. OWASP Top 10 グローバルで大人気 ©2016 Asterisk Research, Inc.7 出典：SANS Institute (2015)
- 8. 8 HARDENING PROJECT 2015/10 動画サイトで閲覧可能： http://www.nikkei.com/article/DGXMZO 92573760X01C15A0000000/
- 11. Report NRI Secure Information Security Report 2015
- 12. Enablin©Asterisk Research, Inc.12 ■第2章 Webサーバのアクセスログ観察 第1節 外部ファイルを不正に読み込ませる攻撃 第2節 パスワードファイル閲覧攻撃 第3節 環境変数に対する調査 第4節 一時ファイルに対する調査 第5節 スキャンツールを用いた調査 第6節 SQLインジェクション攻撃 第7節 クロスサイトスクリプティング攻撃 第8節 EPGrecに対する調査 第9節 OpenFlashChartに対する調査 第10節 apach0day攻撃? ■第3章 Web型ハニーポットのログ観察 第1節 PUTメソッドによるWebサイト改ざん攻撃 第2節 Shellshock攻撃 第3節 Apache Magica攻撃 第4節 JBossのアクセス制限を回避する攻撃 第5節 Apache StrutsのredirectActionに対する攻 撃 第6節 Apache StrutsのClassLoaderに対する攻撃 第7節 Tomcatの設定不備の調査 第8節 phpMyAdminを狙ったコマンド実行攻撃 第9節 Joomla!のコマンド実行攻撃 第10節 Joomla!コンテンツエディタ(JCE)に対す 第11節 Drupalに対するSQLインジェクション攻 第12節 不正なファイルアップロード攻撃 第13節 ネットワーク設定情報ファイルに対す 第14節 WebCalendarに対する調査 第15節 ルータのWeb管理画面の脆弱性を狙 第16節 HTTP.sysの脆弱性を狙った攻撃 第17節 不正中継攻撃 ■第4章 多彩なハニーポットのログ観察 第1節 Elasticsearchに対する攻撃 第2節 NTPリフレクタ攻撃 第3節 Microsoft SQL Serverにおけるコマンド実 第4節 Heartbleed攻撃 第5節 BINDのTKEY DoS攻撃 第6節 ルータに対するSSH不正ログイン攻撃
- 13. セキュリティ対策は脅威の状況に % of Attacks 90% データ侵害の原因 95% 5% セキュリティ侵害の 原因の95％は アプリケーション 検査した95％以上 のサイトは深刻な脆 弱性を抱えている NIST アプリケーションの セキュリティ確保に 気を配っていない。 セキュリティ関連支出 の大半がネットワーク に費やされている。 Network Applications % of Dollars セキュリティ支出 10% 90%
- 16. 16 Enablin©Asterisk Research, Inc. 1425% 攻撃者の攻撃ツールとランサム ウェアへの投資のリターン率 98% のサイトは脆弱、95%のモバイルアプリは脆弱 39% のパスワードは8文字 (１日で解 析できる） 25% の攻撃はXSS 24% の攻撃はShellShock などOSSの脆弱性攻撃
- 17. Priority?
- 19. ©2016 Asterisk Research, Inc.19 ー 一般教養としてのセキュリティで今、いちばん情報が足りない分野はなんでしょうか？ 設計・開発段階からセキュリティの機能を組み込む「セキュアプログラミング」 だろう。… すべてのプログラマーがセキュアプログラミングを常識として知っているべきだと 思うが、残念ながらセキュアプログラミングを学ぶための情報は限られている。 山口 英 奈良先端科学技術大学院大学教授, JPCERT/CC設立者, 内閣官房初代情報セキュリティ補佐官 http://itpro.nikkeibp.co.jp/atcl/interview/14/262522/090700192/?ST=management&P=4
- 20. 2017年「いかにアプリを構築し、実装するか、 新たな議論が巻き起こる」 11 things we think will happen in business technology in 2017 “A new debate in how to build and ship applications.” Business Insider誌, Jan. 2, 2017
- 21. DevSecOps = DevOps + Sec ビジネス要件 カイハツ 運用 セキュリティ ウォーター フォール アジャイル DevOps DevSecOps !
- 22. 出荷直前のテストに重点を置く時代の終焉 ©Asterisk Research, Inc.22 フェーズ Percent 企画・要件定義フェーズ 53.4% 設計フェーズ 16.5% 開発中 14.6% コードのチェックイン 4.9% リリース前 8.7% Other 1.9% 出典：SANS Institute (2015)
- 23. SHIFT LEFT! 0 20 40 60 80 100 設計 構築 検証 運用 1 6.5 15 対応コスト 100 ©Asterisk Research, Inc.23 SHIFT LEFT 原因85
- 24. 事前の策：OWASP Proactive Controls Enablin©2016 Asterisk Research, Inc.24 OWASP Top 10 Proactive Controls 2016 1: 早期に、繰り返しセキュリティを検証する 2: クエリーのパラメータ化 3: データのエンコーディング 4: すべての入力値を検証する 5: アイデンティティと認証管理の実装 6: 適切なアクセス制御の実装 7: データの保護 8: ロギングと侵入検知の実装 9: セキュリティフレームワークやライブラリの活用 10: エラー処理と例外処理 日本語もあります https://www.owasp.org/images/a/a8/OWASPTop10ProactiveControls2016-Japanese.pdf
- 25. 原因と結果の対応 正しい構築手法とプロセス → 複数の脆弱性を激減させる。 大半がコーディングにかかわるもの。 ©2016 Asterisk Research, Inc.25 OWASP Top 10 1:インジェクション 2:認証とセッション 管理の不備 3:クロスサイトスク リプティング 4:安全でないオブ ジェクト直接参照 5:セキュリティ設定 のミス 6:機密データの露出 7:機能レベルのアク セス制御の欠落 8:クロスサイトリク エストフォージェリ 9:既知の脆弱性を持 つコンポーネントの 使用 10:未検証のリダイ レクトとフォワード ProactiveControls 1: 早期に、繰り返しセキュリティを検証する ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ 2: クエリーのパラメータ化 ✔ 3: データのエンコーディング ✔ ✔ 4: すべての入力値を検証する ✔ ✔ ✔ 5: アイデンティティと認証管理の実装 ✔ 6: 適切なアクセス制御の実装 ✔ ✔ 7: データの保護 ✔ 8: ロギングと侵入検知の実装 ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ 9: セキュリティフレームワークやライブラリの活用 ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ 10: エラー処理と例外処理 ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ OWASP Top 10 x Proactive Controls MAPPING
- 28. DevOps時代のSHIFT LEFT https://en.wikipedia.org/wiki/Shift_left_testing ・コードレビューツール ・テスト自動化 ・デリバリー自動化
- 29. はやく やすく うまいこと
- 30. セキュリティは ITの 総合格闘技 © MMA
- 31. Enablin©Asterisk Research, Inc.31 IT= I x T
- 33. OWASP Japan
- 36. ありがとうございます。
- 37. #sosaisec
Editor's Notes
- <mission: ソフトウェアセキュリティについて 意思決定をする人のために役立つ十分な情報を 提供すること> 技術者、ビジネスオーナ、ユーザ ソフトウェアに関する技術・セキュアプロセス 現状理解・普及啓発・適用推進 オープンソース・コミュニティベースで実現
- 1425% 攻撃者の攻撃ツールとランサムウェアへの投資のリターン率 98% のサイトは脆弱、95%のモバイルアプリは脆弱 39% のパスワードは8文字 (１日で解析できる） 25% の攻撃はXSS 24% の攻撃はShellShock などOSSの脆弱性攻撃
- 2014年「Docker」というスタートアップがアプリ開発のゲームのルールを書き換えた。同社の登場により、コンテナの技術が身近になった。オーバーヘッドが小さく、一瞬で立ち上がるといった特徴に加えて、差分ディスクイメージをシェアできたり、Dockerfileでインフラのコード化が可能となった。そんなコンテナ型仮想化のDockerを管理するフレームワークとして、GoogleはKubernetesをオープンソースとして公開、PaaSを基盤としたアプリケーション開発の新しいパラダイムの登場を後押しすることになった（Kubernetes自体はPaaSではないけれど。ユーザー管理やログ収集の仕組みはない）。 Amazonは、サーバーをプロビジョニングしたり、管理しなくてもコードを実行できるコンピューティングサービス「AWS Lambda」を発表、サーバーレスコンピューティングという新しい技術パラダイムを切り開く野心をみせた。Amazonにおけるサーバーレスコンピューティングには「VM」「コンテナ」「サーバーレス」という3つのアプローチがある。EC2、ECS、AWS Lambdaに対応するそれぞれのアプローチは「スケーリング単位としてのマシン／ハードウェアの抽象化」 「スケーリング単位としてのアプリ／OSの抽象化」 「スケーリング単位としての機能／言語ランタイムの抽象化」という用途に応じて切り分けられる。 PaaSなどのクラウド環境で構築されるアプリケーション開発のトレンドが「Docker」という小さなスタートアップをきっかけに大きく変わろうとしている。 https://www.businessinsider.jp/post-173
- 通信経路 データ 保存先を変更する場合 モバイルアプリケーション
- Radware GLOBAL APPLICATION & NETWORK SECURITY REPORT 2015
- <mission: ソフトウェアセキュリティについて 意思決定をする人のために役立つ十分な情報を 提供すること> 技術者、ビジネスオーナ、ユーザ ソフトウェアに関する技術・セキュアプロセス 現状理解・普及啓発・適用推進 オープンソース・コミュニティベースで実現