ビルトイン・セキュリティのススメ Dev Days 2015 Tokyo - Riotaro OKADA

ビルトイン・セキュリティのススメ Dev Days 2015 Tokyo - Riotaro OKADA

• 1.
  @okdt    @owaspjapan Hello |  Enabling  Security  for   Developers  |   ©2015  Asterisk  Research,  Inc. 1
• 2.
  hHps://commons.wikimedia.org/wiki/File:VerificaOon_in_SE.jpg
• 3.
  3 hHps://www.reddit.com/r/funny/comments/1m628n/the_new_iphone_5s_provides_unmatched_security/
• 4.
  つくるスキル vs 壊すスキル PRIORITY SocialImpact Business decisions FULL-STACK H/W Network Application Database Users RISK Point of failure Unauthorized access Disasters Absence of key person COMMU- NICATION Team Stakeholders Government Community 4  
• 5.
  材料にこだわらないクスリ
• 6.
  自動車のディテールが重要でなはいクルマ
• 7.
  ソフトウェアのサプライチェインは？ Screen  Shot  2015-­‐08-­‐14  at  19.54.28.png
• 8.
  8 1963  /  249420  =  0.0078….     Less  than  1%
• 9.
  Keynote:  Facebook  CSO  Alex  Stamos
• 11.
  “最大のリスク要因” ©2015  Asterisk  Research,  Inc. 11 RMS  Titanic  deparOng  Southampton  on  April  10,  1912.  (Photo:  CreaOve  Commons)  
• 12.
  Intel  Edison  SD  Card  size  PC  Bluetooth/LE Wi-­‐Fi 24x32x2.1mm 22nm  500MHz   Linux 1GB  RAM 4GB  storage Dual  Core  IA “コンピュータやスマートフォンのみならず、椅子や コーヒーメーカーや、マグカップまでがネットワークデ バイスになります。” hHp://www.intel.com/content/www/us/en/do-­‐it-­‐yourself/edison.html
• 13.
  検索: “OWASP Japan”
• 14.
  検索: “OWASP Japanブログ”
• 15.
  検索: “OWASP” 
 ja.stackoverflow.com
• 16.
  検索: “OWASP” 
 stackoverflow.com
• 17.
  ホールインしやすい   スタート地点から   どうぞ。     1.  設計   2.  開発   3.  ビルド   4.  テスト   5.  リリース  
• 18.
  OWASP  Top  10
• 19.
  Level0 テストなし(ありがち) Level1 簡単な対応 Level2 標準的に期待したい対応 Level3 より進んだ対応 OWASP  ASVS
• 20.
  Level  0:   (セキュリティテスト・なし=あるある)
• 21.
  Level  1:  OpportunisOc   (簡単に見つかるレベル)
• 22.
  Level  2:  Standard   (標準的なレベル) ・”Detailed  VerificaOon  Requirements”   ・OWASP  Top  10をカバー   ・ビジネスロジックも検証
• 23.
  Level  3:  Advanced   (より進んだ脆弱性に対応)
• 24.
  それ以上:    L3+   •  ASVS  L3  +   – アプリケーション・スコープを超えたオプション・テ スト   – サードパーティのモジュールへのテスト   – ミッションクリティカルなシステムでは必要となるこ とがある。  
• 25.
  V2.  AuthenOcaOon  VerificaOon  Requirements   Level  1 V2.1  基本的な使い方 V2.2  パスワードEchoなし V2.6  安全にフェイルする Level  2 V2.12  認証のロギング V2.13  Salt、暗号化 Level  3 V2.5  認証制御の実装 の（外部連携を含め） 集中化実装 V数字.数字 によるテスト項目のIdenOfyもバージョン間で継承される
• 26.
  V8.  Error  Handling  and  Logging     Level  1 V8.1  攻撃者を支援し兼 ねないエラーメッセージ、 スタックトレースを出力し ない Level  2 V8.2  全エラーハンドリン グがサーバー上で実装 V8.8  セキュリティログは 認証されていないアクセ スや改ざんから保護され ていること   Level  3 V8.9  ログを閲覧するソフ トウェア上で、信頼できな いデータを含むすべての イベントが、コードとして 実行されないこと V数字.数字 によるテスト項目のIdenOfyもバージョン間で継承される
• 27.
  OWASP蛇とはしご（ボードゲーム） ウェブアプリケーション版   モバイルアプリケーション版  
• 28.
  OWASP ProActive Controls ProacOve  Controls
 脆弱性を事前に除去または低減しよう!
• 29.
  OWASP  Internet  of  Things  Top  10 hHps://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project I1  安全でないウェブインターフェース   I2  欠陥のある認証・認可機構   I3  安全でないネットワークサービス   I4  通信路の暗号化の欠如   I5  プライバシー   I6  安全でないクラウドインターフェース   I7  弱いモバイルインターフェース   I8  設定の不備   I9  ソフトウェア・ファームウェアの問題   I10  物理的な問題
• 30.
  本日、持ってきました。保存版 OWASP IoT Top10 リスク概要編 日本語版
• 31.
  OWASP  Cheat  Sheet Project No チートシート 1 Webアプリの認証に関するチートシート 2 ユーザーがパスワードを忘れた場合の措置に関するチートシート 3 Webアプリにおけるログの取得などに関するチートシート 4 パスワードなどの保持に関するチートシート 5 PHPにおけるセキュリティ対策に関するチートシート 6 セキュアコーディングに関するチートシート 7 SQLインジェクション対策に関するチートシート 8 XSS対策に関するチートシート 9 ・・・・
• 32.
  2015年年10⽉月、Cheat  Sheet  シリーズ概要⽇日本語版
• 33.
  OWASP史上最も活発に更更新されているツール!  ZAP 概要 実⾏行行ボタン1つでも簡易易なウェブ脆弱性テ ストを実施可能なツール 特徴 IPAテクニカルウォッチ「ウェブサイトに おける脆弱性検査⼿手法の紹介」において、 セキュリティ初学者でも使いやすく、検知 精度度が⾼高く、⾮非常に効率率率的と評価 参考：https://www.ipa.go.jp/about/technicalwatch/20131212.html
• 34.
  ZAPがサーバにアクセス、脆弱性有無を⾃自動判断 テスター ウェブサーバ POST  /confirm.php HTTP/1.1 （中略略） Cookie:  PHPSESSID=xxxxxx name=shonantoka”>xss&mail=shonantoka %40example.org&gender=1 リクエスト レスポンス <html><body> ⽒氏名：shonantoka”>xss<br> メール：shonantoka@example.org<br> 性別：男<br> <from  action=“register”  method=“POST”> ZAP
• 35.
  つまり開発成果物の価値が効率良く向上するサイクル   見つけるだけではなく、修正し、改善していくコミュニティ |  Enabling  Security  for   Developers  |   ©2015  Asterisk  Research,  Inc. 35 1.  Find  risky  coding  and  vulnerabiliOes  earlier   　セキュリティ問題を潜在を早期発見     2.  Fix  &  Prevent  them   　 リスクのあるコーディングを修正・未然に防ぐ   3.  Improved  educa8on  and  quality                  throughout  SDLC   　開発ライフサイクルを通してソフトウェア品質向上
• 36.
  OWASP  Kyushu 2015.3〜～ OWASP  Kansai 2014.3〜～ OWASP Japan 2012.3〜～ OWASP  Sendai New 国内には⾸首都圏をはじめ、4つのチャプターが存在  OWASP  ⽇日本
• 37.
  各地で3ヶ⽉月に1度度程度度の勉強会（オワスプナイト）の開催  OWASP  ⽇日本 次回は10/19、サイボウズオフィスで。
• 38.
  22   OWASP  Japan  Local  Chapter  MeeOngs   Reasons  for  holding  OWASP  Global  AppSec  in  Japan  –  OWASP  Japan  Local  Chapter  –  2013.3.1  
• 40.
  まとめ •  最大のリスクは「思い込み」。   – リスクは自分の中にある   –  コミュニケーションのレバレッジ   •  ビルトイン・セキュリティ   –  ひとりよがりなコーディングをやめよう   –  共通言語を持とう   •  コラボレーションが効く。   –  巨人の肩に乗れ   –  ハチドリのひとしずく   40
• 41.
  OWASP  Japan  岡田良太郎 公共関連の活動（抜粋） • 沖縄サイバーセキュリティネットワークアドバイザ（内閣府沖縄総合事務局、現任） •  政府調達担当向けサイバー演習評価委員（総務省、現任） •  セキュリティキャンプ インストラクタ (経済産業省、現任) •  マレーシア政府セキュリティイニシアチブ・インストラクタ（外務省、2015年） •  総務省IT調達研修 (総務省)、自治体IT調達調査担当 (IPA、2013年) ビジネスを持続・向上させる「セキュリティ」を実現可能にする取組みをしています。 グローバル   コミュニティ 攻撃対策・堅牢化 災害緊急対応 セキュア開発の   超効率化  
• 42.
  |  Enabling  Security  for   Developers  |   ©2015  Asterisk  Research,  Inc. 42
• 43.
  @okdt    @owaspjapan Thank  you |  Enabling  Security  for   Developers  |   ©2015  Asterisk  Research,  Inc. 43