若手エンジニアのためのセキュリティ講座

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

若手エンジニアのためのセキュリティ講座
EGセキュアソリューションズ株式会社
徳丸浩

徳丸浩の自己紹介
• 経歴
– 1985年京セラ株式会社入社
– 1995年京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍
– 2008年 KCCS退職、HASHコンサルティング株式会社(現社名:EGセキュアソリューション...

侵入を受けるウェブサイトとはどういう状況
なのか？
Copyright © 2012-2017 EG Secure Solutions Inc. 3

Webサイトへの侵入経路
• 管理用ツールの認証を突破される
– telnet, FTP, SSH等のパスワードを推測される
– FTP等のパスワードがマルウェア経由で漏洩する
• ソフトウェアの脆弱性を悪用される
– 基盤ソフトウェアの脆弱性...

脆弱性とは何か
• 脆弱性とは、悪用可能なバグ、設定不備など
• 悪用可能なバグの例
– バッファオーバーフロー
– SQLインジェクション
– クロスサイト･スクリプティング
• 悪用可能な設定不備の例
– デフォルトのパスワードのまま放置し...

攻撃を受けるとどうなるか?
• 情報漏洩
– サーバー内の重要情報、個人情報等が外部に漏洩する
– Aさんの情報をBさんが見てしまう事故（別人問題）も漏洩に分類する
• データ改ざん
– DB、ファイルの書き換え、
– 画面の改変
– スクリプ...

攻撃経路の変遷
Copyright © 2012-2017 EG Secure Solutions Inc. 7

Webサイトに対する侵入事件のトレンド
• 2000年：各省庁を狙った改ざん事件
– 「ファイアウォールが導入されていなかった」という報道から、FW導入のきっかけに
• 2005年：カカクコム、ワコールなどに対するSQLインジェクション攻撃（理...

セキュリティはイタチごっこと言うけれど
• 2000年頃の侵入事件は、以下が多いと推測
– ローカルネットワーク向けのポート(RPC等)に対する攻撃
– 管理用 telnet / ftp / ssh に対する辞書攻撃
– Apache や se...

脆弱性の責任は誰にあるのか?
Copyright © 2012-2017 EG Secure Solutions Inc. 10

責任と契約について
• ウェブアプリケーションの脆弱性の責任は発注者か開発者か
– 発注者に責任というのが主流のよう
– ただし、判例があるわけではないので要注意
• 経産省の「モデル契約書」では、以下のような記述がある
• 発注者は自衛のため...

ケーススタディ家具インテリアECサイト侵入事件
• 概要
– 家具インテリアのECサイトを運営するX社が、Y社にECサイトアプリケーション
を発注
– X社が運営するECサイトに対して、外部からの不正アクセスにより、最大7316
件のクレジッ...

裁判の争点
• X社（原告）はセキュリティ対策について特に指示はしていなかった模様
• 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限が
あった
• 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった
...

事件後の脆弱性診断の結果以下の脆弱性が認められた
• SQLインジェクション
• クロスサイトスクリプティング
• 個人情報を含むログファイルが外部から閲覧可能
• システム管理機能のID/パスワードが admin/password
• DBに...

東京地裁の判断(1)
• クレジットカード情報が漏洩した原因は複数考えられるが、脆弱性やアクセスロ
グ、不正利用の状況からSQLインジェクション攻撃によるものと断定
• セキュリティ対策についてX社からの指示はなかったが、Y社は必要なセキュリ
...

東京地裁の判断(2)
• 原告からの損害賠償請求のうち、おわびのQUOカード代や梱包発送費などの損害
は全額認められたが、売上減の機会損失は6041万4833円の要求に対して、400万
円のみが認められ、システム委託契約費用約2074万円に対し...

SQLインジェクション対策が"債務"である理由
そこで検討するに，証拠（甲１４，２５，２９）によれば，経済産業省は，平成１
８年２月２０日，「個人情報保護法に基づく個人データの安全管理措置の徹底に係
る注意喚起」と題する文書において，ＳＱＬイン...

判決文を読んでの感想
• 発注者（原告）および受注者（被告）ともにグダグダの状況であった
• 原告は発注者としての責務を果たしておらず、（ほぼ）すべての責任が被告にあ
るとの判断は、被告に厳しすぎると思う
• とはいえ、被告もなんら「専門家とし...

当事件からの考察
• 従来、専門家の間では「発注者責任」という考えが強かったが、この
判決は受注者の「専門家としての責務」を重視した
• SQLインジェクション対策を怠ったことが「重過失」と認定されたこ
とは画期的だが、議論の余地もある
• 開...

SQLインジェクション攻撃
Copyright © 2012-2017 EG Secure Solutions Inc. 20

SQLインジェクションで情報を盗む方法
• UNION SELECTを使う
• エラーメッセージを使う
• なんらかの1ビットの情報を積み重ねる（Blind SQLi）
– 表示上のなんらかの差異
– エラーの有無
– ステータスコードの違い(...

WordPress REST API のコンテンツインジェクション脆弱性
Copyright © 2012-2017 EG Secure Solutions Inc. 22

WordPressの脆弱性突く攻撃が激増、6万以上のWebサイトで改ざん被害
脆弱性情報が公開されてから48時間足らずの間に悪用コードが投稿され、脆弱性のあるサイトを探して攻撃を試す動きはインターネット全体に
広がった。ハッキングされたWebサ...

WordPress、更新版で深刻な脆弱性を修正安全確保のため情報公開を先送り
WordPress.orgは2月1日のブログで、1月末に公開したWordPressの更新版で深刻
な脆弱性に対処していたことを明らかにした。安全確保のため、意図的に...

Sucuriブログより
25
Our journey begins in ./wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php
https://blog.sucu...

時系列の流れ
• 1月26日（木） WordPress 4.7.2 リリース。脆弱性情報に重大なものはなし
• 2月1日（水） WordPress ブログにて、WordPress 4.7.2で重大な脆弱性を修正したことを告知
• 2月1日（水）...

その時、徳丸浩は…
• 2月2日（木）～3日（金）脆弱性情報を把握
• 2月4日（土）～5日（日）脆弱性情報を解析（自宅研究員）
– PoCを入手
– Sucuriブログの精査
– 現象の再現
– 脆弱性の原因の解析
– ブログ記事の執筆
• ...

28https://blog.tokumaru.org/2017/02/wordpress-4.7.1-Privilege-Escalation.html より引用

29https://www.nikkei.com/article/DGXLASDG06HFY_W7A200C1CC1000/ より引用

デバッガで追いかけてみよう
• PHPのリモートデバッグに使用できるIDE等
– NetBenas
– Eclipse
– PHPStorm
– Vim
– Emacs
– MS VisualStudio Code
• 今回は NetBeans...

NetBeans 8.1の外観
Copyright © 2012-2017 EG Secure Solutions Inc. 31

Xdebugとは
• Xdebug とは？
– xdebug は PHP のコア開発者である Derick Rethans 氏が開発している、PHP のデバッグ用エク
ステンション
– $ sudo pecl install xdebug
• ...

続きは実機デモで…
デモにおいて、攻撃目標は、認証を回避して、id=1のコンテンツを改変
することとします。WordPressのREST APIの内部では、以下の2つのメ
ソッドが動きます。
• update_item_permissions_...

セキュリティエンジニアのお仕事
Copyright © 2012-2017 EG Secure Solutions Inc. 34

セキュリティエンジニアと言っても色々ある
35
CSIRT人材の定義と確保(Ver.1.5) より引用
http://www.nca.gr.jp/activity/imgs/recruit-hr20170313.pdf

脆弱性診断とは
Copyright © 2012-2017 EG Secure Solutions Inc. 36

脆弱性診断の種類
• Webアプリケーション脆弱性診断
– Webアプリケーションの脆弱性の有無を確認する
– Webアプリケーションのセキュリティ機能の正当性を確認する
– Webアプリケーションのテストの一環として実施する
• プラットフォ...

Webアプリケーション脆弱性診断の方法
• リモート（ブラックボックス）診断
– 攻撃者の立場でインターネット越しに擬似攻撃を行う
– ツール診断と手動診断
– ツール診断は、手動の30%程度しか見つからないという声も…
– 大規模なサイトでは...

ブラックボックス検査の特徴
• ブラックボックス検査は、プログラムを動かしつつ、ソースコードは
見ない（ブラックボックス）で検査する
• 概念的には通常のテストと同じ方法
• 脆弱性はバグの一種と捉えると、バグはつまるところ動かしてみない
とわ...

ホワイトボックス検査の特徴
• ソースコードから脆弱性を調べる。原則としてプログラムは動かさな
い
– ブラックボックスと併用することを最近はグレーボックスと呼ぶ
• ソースコードが読め、脆弱性の知識があれば、検査は可能
– 攻撃者としてのスキ...

Webアプリケーション脆弱性診断の流れ
• 診断前準備
– 診断環境準備
– 診断用アカウントの準備
• アプリケーション仕様把握
• 画面構成の把握
• 診断箇所の決定（全画面・全項目の場合は省略）
• 画面一覧表の作成
• 診断作業
• 報...

脆弱性診断は仮説-検証の繰り返しだ
• 基本は、「診断文字列」というパターンを入力して挙動を確認する
• 挙動は以下の3つに分類される
– 正常: この診断文字列からは何も言えない
– グレー: 怪しいけど脆弱性とは言い切れない
– 脆弱性の疑...

セキリティエンジニアを目指す若者に
セキュリティエンジニアを将来の夢にしているのですが
現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が技
術を持っていることをアピールさえできれば学歴はそこまで気にする必要はないと
聞...

ベストアンサー
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。
私からも補足を。
セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリ
ティのことを学ばなかった」方がおられます。中には、...

セキュリティエンジニアになるには何を勉強すればいい?
• どこまでを目指すかによる
• 高いものを目指すなら、上原先生が指摘されるように、情報科学や計
算機科学の基礎を学んでおく必要がある
• 例えば、新しいタイプの脆弱性を発見するには、高いプ...

徳丸の経歴
Copyright © 2012-2017 EG Secure Solutions Inc. 46

徳丸浩の受動的人生
• 20代前半は、ニートしていた時期があった。その後フリーターに昇格
– 京王線で中吊り広告吊っていました
• 当時出始めのパソコン(PC-8801mkII)を購入、プログラミングを独習
• 就職活動始めなきゃなと思ってぃた...

徳丸はコンパイラの実装に興味を持った
• プログラマあるあるw
• コンパイラの作り方の本を10冊くらい読んだ
– 「Pascalの言語処理系」という本は、Pascalコンパイラ4000行のソースコード
とその解説からなる
• コンパイラに興味...

最近も小さなコンパイラを作りました
49https://blog.tokumaru.org/2017/08/hidescript.html より引用

デモ
Copyright © 2012-2017 EG Secure Solutions Inc. 50

徳丸はなぜ独立・起業したか?
• 独立・起業を真剣に考えるようになったのは、2007年のこと
– 当時47歳
• 当時、昼間は会社で管理職（事業部長）の傍ら、帰宅後にセキュリ
ティの研究やら執筆をしていた
– ちょっとしんどい、いつまでもはでき...

独立の課題と解決策
• 二大課題…受注の獲得と、家族（家内）の説得
• 受注について
– 当時は無名だったのでおいそれと注文がくるとも思えない
– 飛び込み営業とか無理…
• 家内は当然猛反対
• 解決策
• 前職（KCCS）に技術顧問として残...

独立・起業を考えている人に…
• もちろん実力を備えることは大切…大前提
• 営業力大切…極論すれば、実力はそこそこでも営業力があれば食える
• 前職とは極力円満に退職し、できれば前職から仕事を回してもらいま
しょう（営業力不足の解決）
• 私...

いつまでも現役エンジニアでいつづけるには
Copyright © 2012-2017 EG Secure Solutions Inc. 54

コンパイラを作って良かったこと
• コンピュータサイエンスの基礎をしっかり学べた
• 「本に書いてないこと」については、自分の頭で考え抜くことで、問
題解決能力が身についた
• 細かい実装についてのノウハウは情報が少なく「車輪の再発明」を繰
り...

どうしてプログラマに・・・プログラムが書けないのか?
レジナルド・ブレイスウェイトが書いていることを読んだとき、私はそんなわけないだろうと思っていた。
私と同様、この著者は、プログラミングの仕事への応募者200人中199人はコードがまったく書け...

FizzBuzz
Fizz Buzz（フィズ・バズ、Bizz BuzzやBuzzとも呼ばれる）は英語圏で長距離ドライブ中や飲み会の時
に行われる言葉遊びである。
遊び方
プレイヤーは円状に座る。最初のプレイヤーは「1」と数字を発言する。次のプレ...

なぜ多くのプログラマがFizzBuzzが書けないか?
• FizzBuzzは単純な問題だが、少なくとも「定形の」処理ではない
• すなわちコピペができない
– FizzBuzzが有名になったので、今ではそうではない
• パターンマッチとコピペで...

【超初心者ITスクールによる書評#48】いちばんやさしいPHPの教本
【前略】
インターネットが全盛の時代に、本を読んですべての文法を学んでから
プログラミングをしようという考えは間違っていて、自分の作りたい
ゲームやアプリケーションに関する情...

60https://twitter.com/_marony/status/905998444350672896 より引用

コピペプログラマーを脱しよう
• ミクロで見ればプログラマはパターンマッチと定型的な処理の組み合
わせでコードを書いている割合が多い
– セルフコピペとでも言うか…
• 自然言語（母国語）での話す・書くも実はそう
• しかし、たまには本当にスク...

プログラマ35歳定年説を超えて
• プログラマ35歳定年説というものがありますが…割合あると思います
• なぜ35歳定年なのか?
– 馬力にものを言わせている開発者は、その馬力が衰えてくる
– 新技術習得についていけない
– プログラマのままだ...

ご清聴ありがとうございました
Copyright © 2012-2017 EG Secure Solutions Inc. 63

Share Slideshare

LinkedIn
Facebook
Twitter

Embed

Size (px)

Show related Slideshows at end

WordPress Shortcode

Link

Share
Email

2024 Trend Updates: What Really Wor... by Search Engine Jou... 1030405 views
Storytelling For The Web: Integrate... by Chiara Aliotta 941265 views
Artificial Intelligence, Data and C... by OECD Directorate ... 859475 views
How to Leverage AI to Boost Employe... by SocialHRCamp 360179 views
2024 State of Marketing Report – by... by Marius Sescu 204862 views
Everything You Need To Know About C... by Expeed Software 225716 views

View on Slideshare

1 of 63 Ad

View on Slideshare

1 of 63 Ad