OSS_Security_Sig_20170516_RSA_Conf

2. © Hitachi, Ltd. 2017. All rights reserved. 自己紹介 1 名前：中村雄一 SELinux徹底ガイド（日経BP社） 2004年３月・ SELinux Policy Editorを開発、公開。現在は飽きてメンテ停止、コンセプトは良かったと思うのですが… 所属企業と全く関係ないところで使われてきた模様・他組込み向けSELinuxなどを開発、Ottawa Linux Symposium, USENIX LISAなどで論文発表・ 2007年頃に一度OSSワールドから引退、別の仕事をやっていました。・その間にSELinux関連開発をまとめて博士号取りました。・時代が一巡し、OSSセキュリティが再び求められ、復帰しました。・ 2001年から旧日立ソフトに入社し、SELinuxの研究開発や布教。 SELinuxユーザ会を立ち上げたり、（たぶん）世界初のSELinux書籍を執筆。

3. © Hitachi, Ltd. 2017. All rights reserved. ・日程：2017年2月13日(月)～17日(金) 場所：Moscone Center, San Francisco, CA, USA ・世界最大級の情報セキュリティのイベント、大量のセミナと展示会から成り立つ・今回の参加者は４０,０００人以上 RSA Conference USA 2017概要 2 基調講演の一つ、10,000人以上出席展示会場の様子憧れのNSA(SELinux開発元）ブース

4. © Hitachi, Ltd. 2017. All rights reserved. OSSセキュリティについての主なトピック 3 普通のセキュリティの話題もいっぱいありましたが（ランサムウェアとかIoTとか） OSSセキュリティに関するトピックのみを紹介します１．コミュニティのレベルでのセキュリティ強化 - Linux Foundationの取り組み - CVEの新たな動きについて 2. コンテナのセキュリティ当日のセッションの動画は以下で見れます。 https://www.rsaconference.com/events/us17

5. © Hitachi, Ltd. 2017. All rights reserved. Linux Foundationの取り組み(1/2) 4 ●Collaborative Security Securing Open Source Software By Nicko van Someren (The Linux FoundationのCTO) ・ OSSのセキュリティは商用ソフト以上でも以下でもない。ただし商用ソフトとの違いとして、コード重視、たくさんの人間が開発、プロセスは後付、security firstのプレッシャーが少ない等。・ OpenSSLの事件を踏まえ、CII(https://www.coreinfrastructure.org/)を設立。・コミュニティ開発者の意識向上が重要！・脅威モデル作成 Card game（elevation of privilege threat model card game)というOSSツール https://www.microsoft.com/en-us/SDL/adopt/eop.aspx ・ Change controlする・テスト必須。重要。テストも一緒に提出させる。・コード分析・ファジングツールを使う。商用製品高いが、OSSもある。 OSSの例としてはSonarCube, FramaC, AFL等。・バグ管理必須・ OSSユーザ側へのお願いとして、タダ乗りしないでほしい。バグレポートやパッチなどの貢献をしてほしいと強く呼び掛け。

6. © Hitachi, Ltd. 2017. All rights reserved. Linux Foundationの取り組み(2/2) 5 なお認定基準は： https://github.com/linuxfoundation/cii-best-practices-badge/blob/master/doc/criteria.md ・ CII Best Practices Badge Programを設立。 https://bestpractices.coreinfrastructure.org/ 所定のベストプラクティスを守っているOSSコミュニティをCIIが認定するというもの。 https://bestpractices.coreinfrastructure.org/ ページより引用

7. © Hitachi, Ltd. 2017. All rights reserved. CVEの新たな動き(1/2) 6 ● Saving CVE with Open Source Software by Kent Landfield(Intel), Kurt Seifried(Red Hat) ・脆弱性管理のCVEについて。（CVE-yyyy-xxxxのようなよく見るアレです) ・ CVEは、MITREというUSの非営利団体が主導、元々はUS産ソフトが対象。またOSSのカバレッジは少なかった。 OSSのCVEについてのよくある誤解！・ここ２，３年でOSSに関するCVEが激増している。これは１ソフトウェアあたりの脆弱性が増えているわけではない。見る人が増えたからである。 ⇒ 関連する取り組みの紹介

8. © Hitachi, Ltd. 2017. All rights reserved. CVEの新たな動き(２/2) 7 DWFの設立・ OSSを扱うCNAとしてDWF(Distributed Weakness Filing: https://github.com/distributedweaknessfiling/)が新たに設立された。・ DWFは、基本的にはコミュニティベースで運営される。DWFの下にサブCNAをぶら下げて、どんどんOSSのカバレッジを増やしたい。CNAやりたい人を大募集中。・ DWFでは、OSSのCVEのレビュア―としてMentorという役割を作った。Mentorも大募集中である。 ⇒ Mentorは簡単になれるようです。興味ある方は↓ https://github.com/distributedweaknessfiling/DWF-CVE-Mentor-Registry ・ MITREの下のCNA(CVE Numbering Authorities)という組織が自分の担当範囲のCVEをまとめる ⇒ OSSに関するところが弱かった。 MITRE CNA (forベンダ） CNA for地域（現状日本のJPCERTのみ） CNA (forX社製品） CNA (forY社製品） CNA for OSS DWF 新設 OSSのジャンル毎のCNA OSSのジャンル毎のCNA mentormentor

9. © Hitachi, Ltd. 2017. All rights reserved. コンテナセキュリティ 8 今年のRSA Conferenceはコンテナセキュリティであるとの声。（数年前はクラウドセキュリティと言われていたのと一緒） ● セッション： Orchestration Ownage: Exploiting Container-Centric Data center Platforms, by Bryce Kunz＠Adove、Mike Mellor @ Adobe 何も考えずにApache Mesosでコンテナベースのデータセンタを組むとひどいことになるというデモ脆弱な Webアプリがあるコンテナジョブ管理デーモン (marathon) Mesos Master Mesos DNS 任意コマンド実行を許す脆弱性がある前提（例：最近のStruts2の脆弱性） 1: REST API叩いて各種サービスのIPアドレスとポート取得２： REST API叩いて悪意のあるジョブを投入３：悪意あるジョブにてrootシェル起動最低限REST APIを認証+TLSしろとの話。＃コンテナ関連のOSSは、デフォルト安全に倒した設定になっていない、＃ベストプラクティスも共有されていない模様。＃なおデモ環境ではSELinuxは入っていたが適切に設定されていなかった。他のセッションでも、コンテナからホストを破壊のデモもあり # SELinuxが入っていればなぁ。。。。

10. © Hitachi, Ltd. 2017. All rights reserved. コンテナセキュリティ 9 Red Hatブースにて対策技術展示。 SELinux seccomp OpenSCAP コンテナ同士の分離、コンテナとホストの分離に利用前提技術とされているシステムコールを使えなくするLinuxカーネルの機能、SELinuxと併用コンテナの検査に利用 OpenSCAPにバグ報告実施 (SELinuxのチェックされていない件）

12. 11© Hitachi, Ltd. 2016. All rights reserved. 他社所有商標に関する表示 • RSAはRSA Security Inc.の米国およびその他の国における登録商標です • Linuxは米国及びその他の国におけるLinus Torvaldsの登録商標です。 • SELinuxは米国及びその他の国におけるNational Security Agencyの登録商標です。 • Apache Mesosは米国及びその他の国におけるThe Apache Software Foundationの登録商標です。 • その他記載の会社名、製品名は、それぞれの会社の商標もしくは登録商標です。

OSS_Security_Sig_20170516_RSA_Conf

SecureOSS-Sig

OSS_Security_Sig_20170516_RSA_Conf