2019.11.07 Fin-JAWS #6 LT "Best practice of CI/CD and Vulnerability test" Here we go! I have 5min, come on rock roll!!

1. Shinichiro Kawano
Corporate Sales
F-Secure K.K.
Shinichiro.Kawano@f-secure.com
5分でしゃべる！
CI/CD と 脆弱性診断自動化
ベストプラクティス
2019/11/07 Fin-JAWS #6 - re:Invent 2019 直前！- LT

2. 2
自己紹介
河野 真一郎
エフセキュア株式会社 法人営業本部
Cloud Security, F-Secure Cyber Security Consulting Sales担当
今までのおしごと Unix -> OSS/Linux, Cloud -> Security, Cloud
今日感動したこと re:Invent 2019 モバイルアプリすごいぞ！

3. F-Secure 会社概要
3
過去8年間で6回のAV-Test最優秀保護賞を受賞した唯一の企業。
その他多数の受賞歴
設立: 1988年
法人展開: 世界29地域
ビジネス展開: 100ヵ国以上
オペレータ数: 200以上
リセラー数: 1000以上
社員数: 1600人以上
売上高: 約235億円(2018)
前年比33%成長
法人顧客数: 世界10万社以上
欧州のサイバー犯罪インシデント時に調査機関として最多の依頼数
事業内容
 ITセキュリティソリューションの開発・販売・サポート（法人・個人）
 IoTコンサルティング（診断・テスト・開発支援・トレーニング）
 「F-Secure Lab」からのセキュリティサービス提供

4. F-Secure 20194
今日のお題

5. F-Secure 20195
自動化
Security

6. F-Secure 20196
今日の話 (1)
F-Secure Radar
API連携
継続的な脆弱性診断

7. F-Secure 20197
CI/CD 環境
脆弱性診断
自動化したい皆さま

8. © F-Secure8
未処理タスク 開発
(スクラム/看板)
CI/CD
（継続的インティグレーション／デリバリー）
開発実施 テスト＆deploy機能タスク
セキュリティ
関連タスク
脅威モデリング
脆弱性診断
脅威モデル
機能タスク
主要機能タスク
合否基準
合否基準
脅威モデリング、脆弱性診断を
開発に組み込むことが重要
脅威モデリング、脆弱性診断を入れることで
セキュリティのクライテリアや適切なタスクを追加できます

9. F-Secure 20199
API連携した
脆弱性診断
自動実行

10. F-Secure 201910
やりたくないですか？

11. F-Secure 201911
できますよ

12. © F-Secure Confidential12
F-Secure Radar による脆弱性自動実行
https://dev.classmethod.jp/cloud/aws/auto-vulscan-with-pipeline/
https://dev.classmethod.jp/cloud/aws/all-auto-vulscan-with-pipeline/

13. F-Secure 201913
ポイントは
API連携できる
脆弱性診断ツール

14. 脆弱性診断ツール
F-Secure RADAR
 統一された体裁の
レポートを一元的に作成
 脆弱性管理と
チケッティングシステム
 APIインターフェイス
 脆弱性を手動で登録可能
© F-Secure14

15. F-Secure 201915
F-Secure Radar
いったいいくらで
使えるの？？

16. F-Secure 201916
F-Secure Radar
50Server 623,000円
100Server 748,000円
年間ライセンス(保守込)
パートナー様ご参考販売価格

17. F-Secure 201917
まとめ
F-Secure Radar
API連携で自動化
継続的な脆弱性診断

18. © F-Secure18
未処理タスク 開発
(スクラム/看板)
CI/CD
（継続的インティグレーション／デリバリー）
開発実施 テスト＆deploy機能タスク
セキュリティ
関連タスク
脅威モデリング
脆弱性診断
脅威モデル
機能タスク
主要機能タスク
合否基準
合否基準
(再掲) 脅威モデリング、脆弱性診断を
開発に組み込むことが重要
脅威モデリング、脆弱性診断を入れることで
セキュリティのクライテリアや適切なタスクを追加できます

19. F-Secure 201919
以降
おまけページ

20. © F-Secure20
脆弱性が 1 つあれば十分に
悪用される可能性がある
90 分 セキュリティの脆弱性が発見される時間的間隔
17,000 件 2017 年に発見された脆弱性の数
50～300 件 悪用されればビジネスに深刻な影響を与える脆弱性の数
103 日 発見された脆弱性が修正されるまでの平均期間
15 日 発見された脆弱性が悪用されるまでの平均期間

21. リスク
が潜む場所
© F-Secure21
 古いソフトウェア
 システムの構成ミス
 セキュリティの低いウェブアプリケーション
 継続的な脆弱性検査
 脆弱性を管理する厳格なプロセスの採用
 社内IT資産の把握（サーバー、PC、プ
リンタ、ルーターなど）
どのように
対策するか

22. ビジネスクリティカルな
脆弱性の管理
© F-Secure22
F-Secure Radar は脆弱性のスキャンと管理を
一括で行うプラットフォームです。
社内外に潜む脅威を検出・管理してリスクを報告
し、現在と将来の規制に準拠することができます。
また、シャドー IT を可視化して脆弱なポイントの
全体像を把握し、サイバー犯罪につながる深刻な
脆弱性に対処できます。
グローバルな
デジタル
機器検出
ネットワーク
アセットの
検出
システムと
アプリケーション
のスキャン
脆弱性の
管理
評価と検証
ステータスの
報告

23. 脆弱性診断ツール
F-Secure RADAR
 統一された体裁の
レポートを一元的に作成
 脆弱性管理と
チケッティングシステム
 APIインターフェイス
 脆弱性を手動で登録可能
© F-Secure23

24. © F-Secure24
F-Secure
Radar
セキュリティ
センター
ディスカバリー
スキャン
システム
スキャン
Web
スキャン
インターネット
ディスカバリー
セキュリティセンター
クラウドでの一元的な管理とレポート作成
脆弱性管理とチケッティングシステム
ディスカバリースキャン
ネットワーク全体とそのすべてのアセットをマッピングする
スキャンプロセス
システムスキャン
設定エラー、不適切なパッチ管理、実装の見落としな
どに関連した脆弱性を特定
Webスキャン
多数のWebアプリケーションで脆弱性の有無をテスト
インターネットディスカバリー
公開されている攻撃ベクトル（感染経路/手法）のリ
ストアップ
4種類のスキャンが
統合された
スキャン
ソリューション

25. ディスカバリースキャン
 ネットワーク全体とそのすべてのアセットを
ディスカバリースキャンでマッピングして、
システムスキャンで脆弱性を確実に検査
 ディスカバリースキャンのスケジュールの設
定、ファイアウォールの変更の監視、現在の
ファイアウォール設定が想定どおりに機能す
るかどうかの確認が可能
 高速で信頼性が高いポートスキャナ
 非同期ポートスキャン技術を使用
 サービスおよびオペレーティングシステムの
検出
25

26. © F-Secure26
システムスキャン
 設定エラー、不適切なパッチ管理、実
装の見落としなどに関連した脆弱性を
特定
 IPを使用するすべてのネットワーク
デバイスをスキャン
 認証スキャン（WindowsとLinux）
 誤検知の数を最小限に抑えながら高い
精度を維持
 常に最新の情報へアップデート
 認定PCI ASVスキャンツール

27. WEBスキャン
 カスタムのWebアプリケーションやモ
ジュールをスキャンするためのシステム
スキャン追加機能
 ベーシック認証とフォームベース認証を
サポート
 誤検知の数を低く抑えながら高い精度を
維持
 脆弱性データベースを最新の状態に維持
 認定PCI ASVスキャンツール
© F-Secure27

28. インターネットディスカバリースキャン
 インターネットディスカバリーで、イン
ターネットに面した組織のアセットを検
出可能
 クローリングを使用してパブリックシス
テム上のデータを収集。ロケーション、
トップレベルドメイン、有料ドメイン、
キーワード、ホスト名、IPアドレスに基
づいてデータを検索可能
 検出したホストをスキャングループに追
加して、アクティブスキャンで脆弱性を
スキャン可能
 アクティブスキャンでホストに対して
定期的なシステムスキャンを実行
© F-Secure28

29. © F-Secure29
継続的な脆弱性診断実施例
50,000インスタンス 脆弱性診断対象インスタンス数
10,000 一週間ごとの脆弱性診断実施数
・ Radarセキュリティセンタ 自動スキャン
・ APIベースで デプロイ後 自動スキャン

30. F-Secure 201930
継続的, 自動化
脆弱性診断
API連携で！

31. © F-Secure Confidential31
F-Secure Radar ご利用例
https://dev.classmethod.jp/cloud/aws/auto-vulscan-with-pipeline/
https://dev.classmethod.jp/cloud/aws/all-auto-vulscan-with-pipeline/

32. F-Secure 201932
ご参考 (2)
クラウド環境F-Secure
セキュリティコンサル

33. F-Secure 201933
とは言うものの

34. F-Secure 201934
使ってるCloud環境
そもそも、どこから
診断すれば良い？

35. F-Secure 201935
そんなお悩みを
持っている方向け

36. F-Secure 201936
クラウド環境向け
サイバーセキュリティ
コンサルティング

37. • ヨーロッパでサイバークライムインシデントが
起こった際 調査機関として
史上最多の依頼数
37
F-Secure CSS
サイバーセキュリティ コンサルサービス

38. © F-Secure Partner Confidential38
F-SecureのWebアプリケーションセキュリティアセスメントは、
コードに存在する脆弱性とWebアプリケーションの実装を提供
します。基礎となる技術は F-Secure 独自のテクノロジーです。
Webアプリケーションアセスメントへの当社のアプローチは、
従来提供してきた豊富な実績により、様々なお客様の要件
に対応し、対象はフロントエンド、ミドルウェア、バックエンドシス
テムをカバーします。
Webセキュリティアセスメントでは、以下の診断を提供します
当社のAssessmentは、お客様のビジネスの観点から重要性
が高く、コスト効果の高いアプリケーションにフォーカスしています。
F-Secure の Assessmentは、コンサルタントによるアセスメント
手法とF-Secure 独自ツールの組み合わせにより、特定の脆
弱性を調査し、深刻なリスクを引き起こす可能性のある根本
的な問題を特定します。
・Server architecture and security specifications
・Business logic
・Authentication, access control, and authorization
・Use of cryptography
・Session management
・Error condition handling and exception management
・Data validation, confidentiality, and integrity
・Management interfaces
・Privacy concerns
インフラ,ミドルウェア
ソースコードレベル
Webアセスメント

39. © F-Secure Partner Confidential39
F-Secure の数多くの実績を持つセキュリティコンサルタントが、
次のようなさまざまな標的型攻撃をテスト致します。
・ Reconnaissance and intelligence gathering e.g. Google intel,
dumpster-diving etc.
・ Social engineering e.g. e-mails, phone calls, human interaction,
tailgating etc.
・Physical security e.g. lock-picking, breaking and entering etc.
・Targeted attacks e.g. phishing, spearhead, waterhole etc.
・Network attacks and penetration testing e.g. Wi-Fi, wired, bug
planting etc.
・Firewall/IDS/IPS/WAF evasion
・Targeted exploitation and offense
すべてのステップとアクションは、監査の証跡、攻撃を再現する可能性、
および潜在的可能性、概念実証モデルの構築とテストを行います。
F-Secureは、Target Driven な マルチレベルペネトレーションテストを
ヨーロッパ各地を始めとするさまざまなお客様に対して提供しています。
ターゲットルールとモデルを使用したペネトレーションテストサービス
には、ネットワーク、アプリケーションに対するテストに加えて、
ソーシャルエンジニアリング攻撃、物理的なセキュリティに対するテスト
も実施可能です。
F-Secureが実行するすべての侵入テストは独自のものです。スコープ、
セットアップ、および方法論は、お客様の要件、ルールセット、
およびターゲットに応じて設定致します。（基本的な侵入テストでは、ター
ゲットとルールセットは
クライアントと共同して定義されます）。
侵入テストの対象は、特定のサーバーまたはサーバーファームからCEOのメール
ボックスへのテスト、
クライアントデータ、またはサーバールームやクラウド環境など、お客様要件に
応じて選択が可能です。
侵入テスト
ソーシャル攻撃、
物理セキュリティ含む

40. © F-Secure Partner Confidential40
F-Secure の数多くの実績を持つセキュリティコンサルタントが、
次のようなさまざまな標的型攻撃をテスト致します。
・ Reconnaissance and intelligence gathering e.g. Google intel,
dumpster-diving etc.
・ Social engineering e.g. e-mails, phone calls, human interaction,
tailgating etc.
・Physical security e.g. lock-picking, breaking and entering etc.
・Targeted attacks e.g. phishing, spearhead, waterhole etc.
・Network attacks and penetration testing e.g. Wi-Fi, wired, bug
planting etc.
・Firewall/IDS/IPS/WAF evasion
・Targeted exploitation and offense
すべてのステップとアクションは、監査の証跡、攻撃を再現する可能性、
および潜在的可能性、概念実証モデルの構築とテストを行います。
F-Secureは、Target Driven な マルチレベルペネトレーションテストを
ヨーロッパ各地を始めとするさまざまなお客様に対して提供しています。
ターゲットルールとモデルを使用したペネトレーションテストサービス
には、ネットワーク、アプリケーションに対するテストに加えて、
ソーシャルエンジニアリング攻撃、物理的なセキュリティに対するテスト
も実施可能です。
F-Secureが実行するすべての侵入テストは独自のものです。スコープ、
セットアップ、および方法論は、お客様の要件、ルールセット、
およびターゲットに応じて設定致します。（基本的な侵入テストでは、ター
ゲットとルールセットは
クライアントと共同して定義されます）。
侵入テストの対象は、特定のサーバーまたはサーバーファームからCEOのメール
ボックスへのテスト、
クライアントデータ、またはサーバールームやクラウド環境など、お客様要件に
応じて選択が可能です。
侵入テスト
クラウド環境特化
診断テスト実績多数

41. © F-Secure41
国内お客様事例
サイバーセキュリティ
コンサルティング

42. © F-Secure42

43. © F-Secure 201843
エウレカ様事例
数百万以上個人情報
攻撃シナリオ詳細

44. © F-Secure 201844
「F-Secureは当初から
非常にリアリティのある話
をする事ができました」

45. © F-Secure 201845
「サンプル資料として
診断結果ももらいました。
こちらの意図した内容と
合致していました」

46. © F-Secure46
とは言うものの、
どこからセキュリティ
対策すればよいの？

47. © F-Secure47
そんなお客様へ

48. F-Secure 201948
“Pre-Study”

49. F-Secure 201949
Pre-Study
専門コンサルタントが
現状ヒアリング

50. F-Secure 201950
(1)どこに脅威がある？
(2)現状リスク分析
(3)診断するならここ

51. F-Secure 201951
前ページ(1)– (3)
専門家がまとめる
コンサルティング

52. F-Secure 201952
ご参考 (3)
クラウド環境F-Secure
アンチウイルス
月額 1,000円以下

53. F-Secure 201953
Server に対する
マルウェア攻撃から
防御する

54. エフセキュア アンチウイルス製品 ラインナップ
インター
ネット
Windows クライアント
Mac PC
Windows クライアント
クライアント セキュリティ
クライアント セキュリティ プレミアム
PSB ワークステーション
デスクトップ・ラップトップ
Windows サーバ
Linux サーバ
SaaS
ポリシーマネージャ PSB 管理ポータル
製品管理ツール
Linux サーバ
仮想アプライアンス
アンチウイルス Linux ゲートウェイ
ゲートウェイ
Android
iOS
Android
FREEDOME for BusinessPSB モバイル
スマートフォン・タブレット
仮想アプライアンスWindows サーバ
Exchange サーバ
XenApp サーバ
Linux サーバ
Sharepoint サーバ
EMC ストレージ
Linux セキュリティ フルエディション
コマンドラインエディション
仮想スキャンサーバWindows サーバ セキュリティ
Windows サーバ セキュリティ プレミアム
Microsoft Exchange & XenApp
セキュリティ プレミアム
Microsoft Exchange & XenApp
セキュリティ
PSB メールサーバ
PSB サーバPSB Linux
サーバ・ストレージ・コラボレーション
ライセンス(オンプレミス)
クラウド
Linux Server,
Windows
Server,
Windows PC,
Mac PC,
Linux Gateway,
製品ご提供
54

55. クラウド環境, オンプレ環境向け 国内ユーザ様 F-Secure お客様例
F-Secure Policy
Manager
管理／アップデート
Windows/Linux Servers
管理／アップデート
自社 データセンタ
DMZ
Windows/Linux Servers
管理／アップデート
Windows/Linux Servers
管理／アップデート
DMZ
Windows/Linux Servers
LAN
ウイルス定義ファイル
バージョンアップ
ファイル配信
55
VPC
Cloud
1,000台超 の Windows/Linux Server,
12,000台以上の PC を 1台の管理サーバで統合管理
LAN

56. © F-Secure 201856
スライドまとめ
( ご参考情報含む)

57. F-Secure 201957
まとめ (1)
F-Secure Radar
API連携
継続的な脆弱性診断

58. F-Secure 201958
F-Secure Radar
50Server 623,000円
100Server 748,000円
年間ライセンス(保守込)
パートナー様ご参考販売価格

59. F-Secure 201959
まとめ (2)
クラウド環境F-Secure
セキュリティコンサル

60. F-Secure 201960
まとめ (3)
クラウド環境F-Secure
アンチウイルス
月額 1,000円以下