©Tomohiro Hanada 2016
2016/05/21
Tomohiro Hanada
PHPカンファレンス福岡2016
セキュリティは
2016年も「熱男」で行こう！

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 2
Facebook
Who am I ??
▌ 氏名：花田 智洋 (Tomohiro Hanada)
►decoyservice@gmail.com
►@decoy_service
▌ 勤務地：福岡
▌ 職種：システムズエンジニア
►金融系システムのデリバリー
▌ 業務外活動：
►情報セキュリティコミュニティ運営
Twitter
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
33
全国の情報セキュリティコミュニティ(の一部)
北海道情報
セキュリティ勉強会
東北情報
セキュリティ勉強会
OWASP Kansai山陰ITPro勉強会
セキュリティうどん
愛媛情報
セキュリティ勉強会
まっちゃ１３９
セキュそば
まっちゃ４４５
北九州情報
セキュリティ勉強会
名古屋情報
セキュリティ勉強会
ばりかた勉強会
OWASP Japan
大和セキュリティ
OWASP Kyushu
Kyushu Information
Security Day
セキュリティもみじ
Hack in the Cafe
Fukuoka
© Tomohiro Hanada 2016
セキュリティさくら
江戸前
セキュリティ勉強会
AVTOKYO
2016/5/28

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
[九州]情報セキュリティコミュニティ
▌ OWASP Kyushu
► https://www.owasp.org/index.php/Kyushu
▌ セキュリティとんこつ - ばりかた勉強会
► http://d.hatena.ne.jp/barikata-sec/
▌ 北九州情報セキュリティ勉強会 セキュ鉄
► https://sites.google.com/site/seckitakyu/
▌ セキュリティさくら
► https://sites.google.com/site/hackinthecafe/kumamoto/
▌ Kyushu Information Security Day
► https://sites.google.com/site/kyusec/
▌ Hack in the Cafe Fukuoka
► https://sites.google.com/site/hackinthecafe/
4© Tomohiro Hanada 20162016/5/28

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 5
ばりかた勉強会の雰囲気
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 6
ばりかた勉強会の雰囲気
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
© Tomohiro Hanada 20162016/5/28 7
SST社よりコミュニティ支援を受領しました
http://www.securesky-tech.com/topics/2015/20150130n.pdf

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 8
セキュリティ系メディアに掲載されました
http://www.security-next.com/055588
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 92016/5/28 9
九州の若手セキュリティ人材育成
▌ 2014年夏からはじめた
新たなチャレンジ
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 102016/5/28 10
無料で合宿講習に参加可能 ※参加条件あり
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
OWASP Kyushu

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
• Open Web Application Security Project
– Webセキュリティを取り巻く問題を解決するた
めの国際的なコミュニティ
– 企業や国境の壁はもちろんのこと、あらゆる専門
知識と経験を持ったスペシャリスト、またユーザ
のコラボレーションにより、自由に参加できる開
放された活動を展開
• OWASP Foundation
– 2001年から活動開始。アメリカ政府認定NPO
– 200以上の拠点に支部
What’s OWASP?
© Tomohiro Hanada 2016 12

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
• OWASP Japan
– https://www.owasp.org/index.php/japan
• OWSP Kansai
– https://www.owasp.org/index.php/Kansai
• OWSP Kyushu
– https://www.owasp.org/index.php/Kyushu
• OWSP Sendai (New)
– https://www.owasp.org/index.php/Sendai
• OWSP Fukushima (New)
– https://www.owasp.org/index.php/Fukushima
• OWSP Okinawa (New)
– https://www.owasp.org/index.php/Okinawa
日本国内におけるOWASPの活動
13© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
• 「開発者とセキュリティ技術者が
手を取り合って Webセキュリティ を
底上げしていこう！」
– 日本国内3番目のLocal Chapter
– 2015年3月より活動開始
– 3か月に1回のChapter Meeting(勉強会)
– Chapter Meetingの参加費は無料
OWASP Kyushu
14© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
OWASP Kyushu
Local Chapter Meeting(勉強会) の雰囲気
15© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
OWASPが発信している情報
© Tomohiro Hanada 2015 16
OWASPコンテンツリファレンス - https://goo.gl/T5Ls1Z

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
OWASP TOP 10
17
• Webアプリの
注意すべき脆弱性と対策
https://www.owasp.org/images/7/79/
OWASP_Top_10_2013_JPN.pdf
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
OWASPが発信している情報
© Tomohiro Hanada 2015 19
OWASPコンテンツリファレンス - https://goo.gl/T5Ls1Z

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
OWASP Top 10
Proactive Controls
20
• Webアプリケーション
開発者が気を付けるべき
10のセキュリティ技術
https://goo.gl/DjS8pI
https://drive.google.com/file/d/0B2_ziyIoP
pCNXzhJRkdrcEx4Q1U/
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
• SQLインジェクションを防ぐには、信頼できない入力値がSQLコマンドの
一部として解釈されるのを避ける必要があります。最も良い方法は「クエ
リーのパラメータ化」と呼ばれる実装方法です。この方法では、SQLの問
い合わせ構文とパラメータは、それぞれ別々にデータベースサーバーに送
信され、データベース上で解析されます。
[例]クエリーのパラメータ化
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
活用イメージ
Webアプリの
注意すべき
脆弱性と対策
Webアプリケーション
開発者が気を付けるべき
10のセキュリティ技術
OWASPが発信している
各種資料・成果物
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 © Tomohiro Hanada 2016 24
まとめ

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 25
まとめ
• [九州]情報セキュリティ
コミュニティ
• OWASP Kyushu
• OWASP Top 10 &
OWASP Top 10
Proactive Controls
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
[九州]情報セキュリティコミュニティ
▌ OWASP Kyushu
► https://www.owasp.org/index.php/Kyushu
▌ セキュリティとんこつ - ばりかた勉強会
► http://d.hatena.ne.jp/barikata-sec/
▌ 北九州情報セキュリティ勉強会 セキュ鉄
► https://sites.google.com/site/seckitakyu/
▌ セキュリティさくら
► https://sites.google.com/site/hackinthecafe/kumamoto/
▌ Kyushu Information Security Day
► https://sites.google.com/site/kyusec/
▌ Hack in the Cafe Fukuoka
► https://sites.google.com/site/hackinthecafe/
26© Tomohiro Hanada 20162016/5/28

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 27
情報セキュリティが少しでも気になる人は
ばりかた勉強会、OWASP Kyushuをはじめとする
九州の情報セキュリティコミュニティへ参加しよう
▌ 勉強会、Chapter Meeting
▌ OWASPプロジェクト
▌ ...夜の懇親会?!
© Tomohiro Hanada 2016

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 © Tomohiro Hanada 2015 28
セキュリティは2016年も「熱男」で行こう！

PHPカンファレンス福岡2016: セキュリティは2016年も「熱男」で行こう！
2016/5/28 29
That's all
▌ みんなで楽しく頑張って行きましょう！
Thank you
2016/05/21
Tomohiro Hanada
© Tomohiro Hanada 2016