Download to read offline
![公開サーバの現実①
NetBIOS
日本 38,403
世界 1,949,422
MSSQL
日本 4,210
世界 166,696
Memcached
日本 3,940
世界 136,536
MongoDB
日本 1,388
世界 67,885
PortMapper
日本 39,556
世界 2,696,755
意図せずインターネットに公開されているサービスの状況
全て設定が
不適切なサーバ
[引用元]http://www.shadowserver.org](https://image.slidesharecdn.com/iw2016waltiver3-161130065039/85/Internet-Week-2016-7-320.jpg)
![具体的な取り組み
2016/11/30 © Walti, Inc.
カテゴリ ツール名 概要
ポートスキャナ nmap 公開サービスを検出
脆弱性スキャナ Nikto Webサーバの設定や管理の不備を検出
WPScan Wordpressの脆弱性を検出
設定スキャナ sslscan SSLの設定を外部から検出
オープンソースの活用
有償サービスの利用
無償！
スキャン対象 内容 Web料金 API料金
Firewall nmap ¥10 ¥8
SSL/TLS sslyze ¥5 ¥4
Web Server Nikto ¥10 ¥8
Web App skipfish ¥100 ¥80
WordPress WPScan 無料 無料
[参考]
価格はサービス次第](https://image.slidesharecdn.com/iw2016waltiver3-161130065039/85/Internet-Week-2016-13-320.jpg)
![WPScan
© Walti, Inc.
Wordpressの脆弱性の有無を確認する
$ ./wpscan.rb --url 203.0.113.1 --wp-content-dir wordpress
____________________________________________________________
___
__ _______ _____
/ / __ / ____|
/ / /| |__) | (___ ___ __ _ _ __
/ / / | ___/ ___ / __|/ _` | '_
/ / | | ____) | (__| (_| | | | |
/ / |_| |_____/ ___|__,_|_| |_|
WordPress Security Scanner by the WPScan Team
Version 2.9.1
Sponsored by Sucuri - https://sucuri.net
[+] WordPress version 4.4.4 identified from advanced fingerprinting
(Released on 2016-06-21)
[!] 2 vulnerabilities identified from the version number
[!] Title: WordPress 2.8-4.6 - Path Traversal in Upgrade Package Uploader
Reference: https://wpvulndb.com/vulnerabilities/8616
Reference: https://wordpress.org/news/2016/09/wordpress-4-6-1-
security-and-maintenance-release/
Reference:
https://github.com/WordPress/WordPress/commit/54720a14d85bc11
検出されたバージョンと該当する脆弱性](https://image.slidesharecdn.com/iw2016waltiver3-161130065039/85/Internet-Week-2016-15-320.jpg)
Uploaded byMasanori Fujisaki
手軽にできる外部公開サーバ観測の効用と活用法 @ Internet Week 2016
Internet Week 2016「プロが厳選！ 低予算でもできる効果あるセキュリティ施策」プログラム中で「手軽にできる外部公開サーバ観測の効用と活用法」というテーマで発表させて頂きました。
![[db tech showcase Tokyo 2016] D13: NVMeフラッシュストレージを用いた高性能高拡張高可用なデータベースシステムの実現方...](https://cdn.slidesharecdn.com/ss_thumbnails/efmcwyyftdwdehhr3b4y-signature-06a70abedb3d16e5e7bcb9b2ba8014302148552ca76b90497742e559ab641b61-poli-160726094411-thumbnail.jpg?width=640&height=640&fit=bounds)
手軽にできる外部公開サーバ観測の効用と活用法 @ Internet Week 2016
- 1.
- 2.
- 3. © Walti, Inc. 自己紹介 •藤崎 正範 ( Fujisaki Masanori ) 株式会社ハートビーツ 代表取締役 株式会社ウォルティ 代表取締役 日本MSP協会 理事 • 2005年に株式会社ハートビーツを設立 • 2014年7月に株式会社ウォルティを設立 • 2014年11月に日本MSP協会の設立に参画 インフラエンジニアとして活動する傍ら、 日本のサーバーのセキュリティ水準を上げていこうと 「サーバーサイドのセキュリティスキャンを 身近にする活動」にWalti.ioの提供を通じて取り組む。 日本MSP協会ではMSPの認知度向上に努める。
- 4.
- 5.
- 6.
- 7. 公開サーバの現実① NetBIOS 日本 38,403 世界 1,949,422 MSSQL 日本4,210 世界 166,696 Memcached 日本 3,940 世界 136,536 MongoDB 日本 1,388 世界 67,885 PortMapper 日本 39,556 世界 2,696,755 意図せずインターネットに公開されているサービスの状況 全て設定が 不適切なサーバ [引用元]http://www.shadowserver.org
- 8.
- 9.
- 10.
- 11.
- 12.
- 13. 具体的な取り組み 2016/11/30 © Walti,Inc. カテゴリ ツール名 概要 ポートスキャナ nmap 公開サービスを検出 脆弱性スキャナ Nikto Webサーバの設定や管理の不備を検出 WPScan Wordpressの脆弱性を検出 設定スキャナ sslscan SSLの設定を外部から検出 オープンソースの活用 有償サービスの利用 無償！ スキャン対象 内容 Web料金 API料金 Firewall nmap ¥10 ¥8 SSL/TLS sslyze ¥5 ¥4 Web Server Nikto ¥10 ¥8 Web App skipfish ¥100 ¥80 WordPress WPScan 無料 無料 [参考] 価格はサービス次第
- 14. $ nmap -sS-sV -p 0-65535 203.0.113.1 Nmap (v7.01) scan report for (203.0.113.1) 22/tcp openOpenSSH 5.3 OpenSSH 5.3 80/tcp openApache httpd 2.2.15Apache httpd 2.2.15 3306/tcp openMySQL 5.1.73 MySQL 5.1.73 Nmap done at Sat Nov 26 01:46:53 2016; 1 IP address (1 host up) scanned in 994.57 seconds nmap © Walti, Inc. 外部に公開されたサービスを明らかにする 検出されたサービスとバナー情報
- 15. WPScan © Walti, Inc. Wordpressの脆弱性の有無を確認する $./wpscan.rb --url 203.0.113.1 --wp-content-dir wordpress ____________________________________________________________ ___ __ _______ _____ / / __ / ____| / / /| |__) | (___ ___ __ _ _ __ / / / | ___/ ___ / __|/ _` | '_ / / | | ____) | (__| (_| | | | | / / |_| |_____/ ___|__,_|_| |_| WordPress Security Scanner by the WPScan Team Version 2.9.1 Sponsored by Sucuri - https://sucuri.net [+] WordPress version 4.4.4 identified from advanced fingerprinting (Released on 2016-06-21) [!] 2 vulnerabilities identified from the version number [!] Title: WordPress 2.8-4.6 - Path Traversal in Upgrade Package Uploader Reference: https://wpvulndb.com/vulnerabilities/8616 Reference: https://wordpress.org/news/2016/09/wordpress-4-6-1- security-and-maintenance-release/ Reference: https://github.com/WordPress/WordPress/commit/54720a14d85bc11 検出されたバージョンと該当する脆弱性
- 16. Nikto © Walti, Inc. Webサーバの脆弱性や不適切な設定を明らかにする $nikto --host 203.0.113.1 - Nikto v2.1.4 --------------------------------------------------------------------------- + Target IP: 203.0.113.1 + Target Hostname: 203.0.113.1 + Target Port: 80 + Start Time: 2016-11-22 11:25:12 --------------------------------------------------------------------------- + Server: Apache/2.4.7 (Ubuntu) + Retrieved x-powered-by header: PHP/5.5.9-1ubuntu4.17 + OSVDB-3092: /phpMyAdmin/: phpMyAdmin is for managing MySQL databases, and should be protected or limited to authorized hosts. + OSVDB-3233: /info.php: PHP is installed, and a test script which runs phpinfo() was found. This gives a lot of system information. + /readme.html: This WordPress file reveals the installed version. + /wp-admin/: Admin login page/section found. + 6448 items checked: 0 error(s) and 8 item(s) reported on remote host + End Time: 2016-11-22 11:25:34 (22 seconds) --------------------------------------------------------------------------- + 1 host(s) tested 検出された脆弱性
- 17. sslscan © Walti, Inc. SSLの不適切な設定を明らかにする $sslscan www.example.jp _ ___ ___| |___ ___ __ _ _ __ / __/ __| / __|/ __/ _` | '_ __ __ __ (_| (_| | | | | |___/___/_|___/_____,_|_| |_| Version 1.8.2 http://www.titania.co.uk Copyright Ian Ventura-Whiting 2009 Testing SSL server www.example.jp on port 443 Supported Server Cipher(s): Failed SSLv3 256 bits ECDHE-RSA-AES256-GCM-SHA384 Failed SSLv3 256 bits ECDHE-ECDSA-AES256-GCM-SHA384 Failed SSLv3 256 bits ECDHE-RSA-AES256-SHA384 Failed SSLv3 256 bits ECDHE-ECDSA-AES256-SHA384 Rejected SSLv3 256 bits ECDHE-RSA-AES256-SHA Rejected SSLv3 256 bits ECDHE-ECDSA-AES256-SHA Failed SSLv3 256 bits SRP-DSS-AES-256-CBC-SHA Failed SSLv3 256 bits SRP-RSA-AES-256-CBC-SHA Failed SSLv3 256 bits SRP-AES-256-CBC-SHA Failed SSLv3 256 bits DHE-DSS-AES256-GCM-SHA384 SSL設定を確認
- 18. オープンソース活用の課題 © Walti, Inc. 費用はかからないものの手間がかかる 前提知識が必要なツールも多い •環境構築の手間 • 実施の手間 • 善し悪しの判別基準が別途必要 • 担当者の属人的な解釈では水準を一元化できない 続かない • 他業務の片手間ではなかなか定期実施は定着しない • 自動実行まで作りこめる人や組織は限られる • 実施結果確認の手間 • 関係者共有の手間
- 19.
- 20.
- 21.
- 22.
- 23. 不慮の事故防止① © Walti, Inc. とあるWebサイト管理者の事例 急遽Webサイトが必要になったため急ごしらえで構築 セキュリティの考慮が不十分なままサービスインしてしまった スキャンを実施、問題を認知し、早々に対処 ヒアリングによると対応に要した時間はわずか3時間 内容所要時間 脆弱性対応の調査 1.5h 対応作業 0.5h 対応後の動作チェック 1.0h
- 24.
- 25.
- 26.
- 27.
- 28. いまはどんな時代？ - セキュリティ課題を後回しにしていい時代はとうに終わった。 © Walti,Inc. 基本的なことは自分たちではじめる時代 - アウトソースするコストが取れないなら、今いるメンバーに、 最低限のセキュリティ管理を担ってもらう必要がある時代 - 事業継続のためにセキュリティ課題を主体的に解決していく時代 - でも、セキュリティエンジニアは普通の会社は採用できない - それではどうするか、アウトソースする予算ある？
- 29. 組織と人の変化 - 課題に蓋をしたり、見ないようにすることはナンセンス - 経験することで人は習熟していく、セキュリティ対応も同じ -マネジメント層やプロジェクトマネージャは今までエンジニアに 「信頼して任せる」ことしかできなかったが、報告がなくてもス キャン結果を見れば対応が必要なものが把握できる。 - セキュリティ課題の把握が容易になることで、一人一人が積極的 に課題を認識し、当事者意識をもって解決に取り組めるようにな る © Walti, Inc. 「文化の醸成」これこそが最大のメリット
- 30.
- 31. 対応の進め方 © Walti, Inc. 自社で抱え込まず、事業者との協力が 円滑な対応の秘訣 開発会社(SIer)運用会社(MSP) 対応要否検討 対応手法検討 対応実施 • すぐやる • あとでやる • やらない • だれが • どうやって • サービス影響 • 検証手法 検討事項は多い・・・ など • 作業実施 • 再スキャン
- 32.
- 33. 協力を得るために有効なこと 一緒に事業を支えるパートナーとしての関係性 • 担当者の心情への配慮、安易に下請け扱いをしない • 手段の強要はしない、餅は餅屋に任せる •そのほかパワーバランスに基づく一方的な要求はしない 日頃からのコミュニケーション • お客様の事業ビジョン、課題の共有 • 懇親会(≠接待) © Walti, Inc. 中の人もやっぱり人間、日頃からの良好な関係性が要
- 34.
- 35. まとめ - 状況把握の必要性 - セキュリティ水準の底上げの視点 -あえて簡便なセキュリティスキャンに取り組む意味 - 社内で最低限のセキュリティ管理に取り組む時代 - MSPやパートナーとの良好な関係性の作り方 - セキュリティ対応を進めるための備え © Walti, Inc. サーバーサイドのセキュリティスキャンを身近にしたい まずは一歩を踏み出しましょう！ よかったらWalti.io無償トライアルをお試しください 初回スキャンは無料！その後は、スキャン１回５円〜 https://walti.io
Editor's Notes
- #2 論点 ・メッセージの確認 ・後半のぐちゃっとしているのをすっきりさせたい ・前半もちょっとくどい？とはいえ背景をしっかりやらないと・・・というジレンマ アイデア ・ac.jpネタ入れてみるといいかも
- #12 Walti的なアプローチの特徴
- #20 見える化された結果が付加価値 ・実施する人に技術がいらない ・実施者は技術にエスカレーションをすればよい
- #22 通常アクセスの範疇であるため、基本安全である旨を説明する
- #26 同じような事例としてac.jpでも同じような話ありますよね。 学生が勝手に作ったものとか。
- #29 中島のアウェアネスの話をふまえてもよい？
- #30 意識を向けさせる、セキュリティアウェアネス、それが当たり前の文化を醸成していく 意識付け
- #32 ステップ 対策要否の判断→対策方法の検討→対策 全て自前でやるのは大変 ↓ お付き合いのある会社の協力を得ることが望ましい
- #36 学術機関無償の話