Download to read offline
![[デブサミ2012]趣味と実益の脆弱性発見](https://cdn.slidesharecdn.com/ss_thumbnails/devsumi-hasegawa-120216203637-phpapp01-thumbnail.jpg?width=640&height=640&fit=bounds)
エフスタ!!勉強会#26 セキュリティと開発と
- 1.
- 2. 自己紹介 芳賀 健 福島コンピュータシステム所属 田村郡三春町 在住 Java/PHP/.NETなどでWeb系システム開発 ソースコードへの脆弱性診断 (ISC)²Japan CISSP Copyrightⓒ 2014 FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved ＝保有セキュリティ資格＝ ( Haga Takeshi ) 情報処理技術者試験 情報セキュリティスペシャリスト
- 3. Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 開発工程 コーディング 内部設計 外部設計 要件定義 運用試験 結合試験 単体試験 ここで実装 を検討して セキュの検証 は ここ
- 4. Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 開発工程別セキュリティ検討項目 コーディング 内部設計 外部設計 要件定義 運用試験 結合試験 単体試験 認証制御 アクセス 権 ログ管理 入力/出力 Chk/条件 プリペアド・ ステートメント 対応等 要求実装 の検証 インフラを含 めた セキュリティ 対策
- 5. 工程別で、開発者だけでなく、 設計者も、発注者も、丸投げせずに セキュリティを意識しよう！ Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved セキュリティ対策のまとめ 様々な情報の リスクを評価して！
- 6.
- 7. OWASP TOP10って知っていますか？ いま知っておくセキュリティ Copyright ⓒ2014 FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 技術者が Webアプリ開発者の助けとなるようなツールや フレームワーク、ガイドラインを提供する世 界的な非営利組織団体です
- 8. OWASP TOP 10（2013版） A-1インジェクション SQLインジェクションやOSコマンドインジェクション A-2 認証とセッション管理の不備 セッション固定化攻撃（Session Fixation） A-3 ＸＳＳ 反射型XSS、 DOM Based XSS A-4 安全でないオブジェクト の直接参照 Webサーバ上のファイルへ直接アクセス等 A-5 セキュリティの設定ミス パッケージやOSSのデバッグ情報の漏洩等 A-6 機密データの露出 DBへクレジットカードのセキュリティキーの格納等 A-7 機密レベル・アクセス 制御の欠落 Requestの改竄により上位権限へのアクセス等 A-8 ＣＳＲＦ mixiで発生した「はまちちゃん事件」の脆弱性 A-9 既知の脆弱性を持つコンポーネント の使用 パッケージやOSSに内包する脆弱性が利用される A-10 未検証のリダイレクト とフォワード フィッシングやマルウェアのサイトへリダイレクト 詳しくは、ここ ↓ https://www.owasp.org/ ※ 英語です 引用：https://www.owasp.org
- 9. A-1 インジェクション 代表としては、SQLインジェクション Copyright ⓒ2014 FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved SELECT name, price FROM items WHERE id = 1 SELECT name, price FROM items WHERE id=1 and 1=1 ・プリペアドステートメントによる実装必須！ ・自由検索等の動的SQLの場合、 入力値に対するバリデーションと バリデーションに対する単体試験をしっかり と！
- 10. A-2 認証とセッション管理不備 代表としては、セッションの固定化 Copyright ⓒ2014 FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 引用：IPA セキュリティセンター 安全なウェブサイトの作り方 改訂第6版より
- 11. A-3 クロスサイトスクリプティング JavaScriptを注入される事で発生。 Copyright ⓒ2014 FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 引用：IPA セキュリティセンター 安全なウェブサイトの作り方 改訂第6版より
- 12. Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 参考にする書籍など
- 13. Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 回 開催月 タイトル 概要 ４ 2010/09 エフスタ!!勉強会vol.4 ＆東北情報セキュリティ勉強会 テーマはセキュリティと開発で スピーカーに上野宣さんをお招き。 6 2011/04 エフスタ!!勉強会vol.6 ＆東北情報セキュリティ勉強会 大震災の直後の開催。 感慨深い勉強会となった。 19 2013/10 エフスタ!!勉強会vol.19 ＆東北情報セキュリティ勉強会 SECCON2013先取り！と題して サイボウズ竹迫さんをお招き 23 2013/12 エフスタ!!TOKYO vol.3 クラウドサイコー クラウドセキュリティのため DIT 河野さんをお招き。 24 2014/01 エフスタ!!ナイトセミナー SNSのリスク管理 SNSのリスク管理について ラック 長谷川長一さんをお招き エフスタ勉強会のセキュリティの軌跡
- 14. Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved 私の 活動とし て 技術者とセキュリティ技術者の間に はしけを渡すことができたら・・・ そして、地方と首都圏の意識格差 可能な限り小さくしたい お客様へ の意識付 けも セキュリティ勉強会への思い
- 16.
- 17. Copyright ⓒ 2014FUKUSHIMA COMPUTER SYSTEM CO.,LTD. ALL right reserved ご清聴をありがとうございました Thank you. 謝辞
- 18. ■参考 ・The Open WebApplication Security Project (OWASP) https://www.owasp.org/ ・独立行政法人 情報処理推進機構 http://www.ipa.go.jp/security/index.html