20131205 大阪 web制作者向けセキュリティセミナー～最近のWebサイト攻撃事例とキホン対策～

最近のWebサイト攻撃事例とキホン対策

境稔
Copyright Secure Your Site. All rights reserved.

自己紹介

境

稔

普段やっているお仕事
 SOC / CSIRT運用
 脆弱性診断
 診断手法トレーニング
お仕事以外
 Certified Information Systems Security Professional
 OWASP Zed Attack Proxy 運用マニュアル監修
https://www.facebook.com/minor.sakai

Copyright Secure Your Site. Some rights reserved.

2

最近のWebサイト攻撃事例とキホン対策
1.

最近のWebサイト攻撃トレンドと事例
❯ 最近の傾向
❯ 事例１パスワードリストアタック
❯ 事例2 SQLインジェクション

Demo

SQL Injectionを利用した情報の窃取

2. キホン対策
❯ セキュリティ要件の決定
❯ リリース前セキュリティテスト

余談

フリーツール ZAP

3. リスクの評価と管理
❯ リスクへの対応

まとめ

3

1. 最近のWebサイト攻撃トレンドと事例


4


5

1.2. これらだけではない不正アクセス事件

2012年不正アクセス被害内容

2012年不正アクセス届出状況
不正プログラ
ム埋め込み
9%

その他（被害
あり）
2%

侵入
50%

なりすまし
30%
DoS
8%

メール不正中
継
1%

データの窃
盗、盗み見
7%
オンライ
ンサービ
スの不
正利用
17%

メール不正中
継
1%
その他
8%

踏み台として
悪用
21%

ウェブサイト改
ざん
32%

不正アカウント
の作成
2%

サービス低下
11%

パスワード
ファイルの
ファイルの書き盗用
0%
換え
1%


6

サイバー攻撃セキュリティレポート「P54 APTとアンダーグラウンド」名和利男氏記事
図１国内のサイバー攻撃の発生推移より

7


8

1.5. どんなサイトが狙われる？


9

1.6. 事例１

登録されたお客さまご本人以外の第三者による不
正なログインが発生していたことを確認いたしま
した。不正ログインが発生していた期間は、
2013年4月6日（土）～2013年8月3日（土）の
間で、不正ログインの対象となったIDは、
243,266件となります。
本件は、他社サービスから流出した可能性のある
ID・パスワードを利用して行っている
http://ameblo.jp/staff/entry-11591175203.html

10


11

1.8.

脆弱性をついた攻撃も・・・
脆弱性関連情報に関する届出状況

・ソフトウェアに比べ、ウェブサイトに関する届出情報が圧倒的多数。
・届出件数は増加傾向
IPA ソフトウェア等の脆弱性関連情報に関する活動報告レポート [2013年第3四半期(7月～9月)]


より

12

1.9. 事例2

WebサーバがSQLインジェクション攻撃を受け、
約11万件のクレジットカード情報や
セキュリティコードが流出
サーバに保有されていた
最大14万6701件のカード情報のうち、
2011年3月7日～13年4月23日に申し込まれた
10万9112件の
カード名義人名、カード番号、有効期限、
セキュリティコード、申込者の住所


13

1.10. 脆弱性の種類と脅威

脆弱性の種類は届出の多い3種類の脆
弱性が全体の86%を占める。
・クロスサイト・スクリプティング
・DNS情報の設定不備
・SQLインジェクション

IPA ソフトウェア等の脆弱性関連情報に関する活動報告レポート [2013年第3四半期(7月～9月)]


14

より

Demo. SQL Injectionを利用した情報の窃取


15

Demo.1 SQL Injectionって？


16

Demo.2 ありがちなECサイト（）


17

Demo.3 ありがちなECサイト（）で
Snake Oilを検索

Snake Oilを検索してみる


18

Demo.4 中ではどんな処理が・・・？

商品一覧から、商品名が
「Snake Oil」の
商品情報を探し出してきて、情
報を表示する。


19

Demo.5 商品名が変わると
別の商品を検索・・・

商品一覧から、商品名が
「*******」の
商品情報を探し出してきて、情
報を表示する。


20

Demo.6 どんな文章だって代入

商品一覧から、商品名が「
A」とかもういいから、この際全
部表示して。
」なものの商品情報を探し出し
てきて、情報を表示する。
[以下抹消]


21

Demo.7 いっそ、別の一覧から・・・

商品一覧から、商品名が「
A」とかもういいから、この際全
部表示して。ついでにユーザ情
報の一覧も表示して。
[以下抹消]

」なものの商品情報を探し出してきて、情報を表示する。


22

Demoが動かなかった時の保険１-1
～ユーザー情報の一覧～
ハッシュ化されたパスワード？


23

Demoが動かなかった時の保険１-2
～ハッシュ化されたパスワード？～


24

Demoが動かなかった時の保険2
～AdminのパスワードをGoogle先生に聞く～


25

Demoが動かなかった時の保険3
～ログインしてみる～


26

2. キホン対策


27

2.1. 対策を、どこで？

企画

脅威の分析

（廃棄）

保守
監視と改善

変更管理

運用

要件定義
セキュリティ要件の決定

セキュアコーディング

開発
リリース前セキュリティテスト

28

2.1. 対策を、どこで？

企画

脅威の分析

（廃棄）

保守
監視と改善

変更管理

運用

要件定義


開発

29

2.2. セキュリティ要件の決定の必要性
【開発会社】セキュリティ要件が明確でな
いと、発注者からセキュリティ対策や関連
するコストに掛かる対価を受け取ることが
できない。

セキュリティ対策にコストを掛けない粗悪品
を作る開発会社が安い金額で受注してしま
う。

発注者側からセキュリティ要件書を示す必要

発注に、セキュリティ要件を組み込む


30

2.3.


Web システム／Web アプリケーションセキュリティ要件書

https://www.owasp.org/index.php/File:Web_application_security_requirements.pdf

31

2.3.


Web システム／Web アプリケーションセキュリティ要件書


32

2.4.


地方公共団体における情報システムセキュリティ要求仕様モデルプラン

https://www.lasdec.or.jp/cms/12,28369,84.html

33

2.4.



地方公共団体における情報システム
セキュリティ要求仕様モデルプラン


34

2.4.




35

2.5. リリース前セキュリティテスト

その納品物(WebApplication)は、
発注者とE/Uが意図する
発注通りの動作と安全
が担保されていますか？


36

2.6.

ウェブ健康診断仕様

http://www.ipa.go.jp/files/000017319.pdf

37

2.6.



38

2.6.



39

余談フリーツールを使用して、
簡易テストをしてみる。


40


https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

41


URLを入力して[攻撃]ボタンを押すだけ！？


42

3. リスクの評価と管理


43


44

3.1. リスクへの対応モデル

リスクの
回避
リスク低減

リスク受容

リスク移転


45

3.3. 共通脆弱性評価システムCVSS

情報システムの脆弱性に対するオープンで汎用的な評価手法であり、
ベンダーに依存しない共通の評価方法
http://jvndb.jvn.jp/cvss/ja.html

46

まとめ


47


48

対策を、どこで？

企画

脅威の分析

（廃棄）

保守
監視と改善

変更管理

運用

要件定義


開発

49

セキュリティ要件の決定の必要性
【開発会社】セキュリティ要件が明確でな
いと、発注者からセキュリティ対策や関連
するコストに掛かる対価を受け取ることが
できない。

セキュリティ対策にコストを掛けない粗悪品
を作る開発会社が安い金額で受注してしまう。

発注者側からセキュリティ要件書を示す必要

発注に、セキュリティ要件を組み込む


50



51

リスクへの対応モデル

リスクの
回避
リスク低減

リスク保有

リスク移転


52

ご清聴ありがとうございました。


53

20131205 大阪 web制作者向けセキュリティセミナー～最近のWebサイト攻撃事例とキホン対策～

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (6)

Similar to 20131205 大阪 web制作者向けセキュリティセミナー～最近のWebサイト攻撃事例とキホン対策～

Similar to 20131205 大阪 web制作者向けセキュリティセミナー～最近のWebサイト攻撃事例とキホン対策～ (20)