PHPカンファレンス関西2014の発表資料です。 SaaS型 継続的Webセキュリティ診断 VAddy の話

1. 継続的
WEBセキュリティ診断
株式会社ビットフォレスト
市川
2014/6/28

2. •IPA 好きエンジニア
• Twitter: cakephper / ichikaway
• Fukuoka.php

3. WEBセキュリティ診断
• HTTP/HTTPS上で動くWEBアプリ
WEB
アプリケーション
攻撃リクエスト
レスポンスチェック

4. 診断ツール
• 有料
• APPScan (IBM)
• WebInspect (HP)
• 無料
• OWASP ZAP
• SkipFish (Google)

5. OWASP ZAP

6. 資料
IPA テクニカルウォッチ
「ウェブサイトにおける脆弱性検査手法の紹介
(ウェブアプリケーション検査編)」
http://www.ipa.go.jp/about/technicalwatch/20131212.html

7. 診断サービス
• セキュリティ企業の検査員がテスト・報告
• 詳細な報告書・説明会
• １回 数十万円∼

8. 理想は・・・
開発初期段階からリリース後まで
常に脆弱性検査

9. CI x Security

10. CI x Security 課題
• 診断企業に毎回依頼
• 時間とお金
• 診断ツールを自分で実施
• ノウハウと環境構築・維持

11. 理想
無料で何回でも実行できる
CI 連携可能な
診断サービスがあれば良いな！

12. 作りました！
継続的WEBセキュリティ診断サービス
VAddy
初公開！

13. VAddy

14. !
http://vaddy.net
Twitter: @vaddynet
開発者
@cakephper (市川)
!
@kinyuka (金床)

15. アルファー版 7月公開
人柱ユーザ募集中

16. VAddy
Vulnerability Assessment is your Buddy
（脆弱性診断はあなたの相棒）

17. Thank you
Everybody, Let’sVAddy
株式会社ビットフォレスト
Yasushi Ichikawa