Download to read offline
Uploaded byAkitsugu Ito
seccon 富山前日勉強会 LT
SECCON 富山大会の前日 LT で利用した資料です。 文中に例を挙げたガイドラインの全文は、こちらに記載します。 ◇ AC ：攻撃条件の複雑さ (Access Complexity) の評価 低の例 - 入力フォームに登録された値が原因となって、リスクが顕在化する - 任意のパラメータに攻撃コードを挿入することでリスクが顕在化する - API の JSON 文字列の中に含まれる値を改ざんすることで、リスクが顕在化する - 外部から読み込むメールに、一般的な攻撃パターンが含まれている場合に、リスクが顕在化する - 一般のユーザーがアプリケーションに設定した入力フィールドに攻撃コードが挿入した場合に、 リスクが顕在化する 中の例 - 相当量のデータが存在することで、リスクが顕在化する - JS を使ってバリデーションが行われている処理で、JS を無効にしデータを登録した場合にリスクが顕在化する - ある画面で設定した値が起因となって、他の画面でリスクが顕在化する - 検索結果のスニペットに含まれる値が画面に表示されることで、リスクが顕在化する - 運用管理者が設定した任意の値（カテゴリ名 etc..）に攻撃コードが含まれている場合に、ユーザー画面でリスクが顕在化する - 通常の Web フォームとは別のフォームを利用した場合にリスクが顕在化する - 特定の入力フィールドを管理者が設定した場合に、リスクが顕在化する 高の例 - 端末内に攻撃コードを含むファイルが設置されていた場合に、リスクが顕在化する - システム管理画面の特定画面で、特定のパラメーターに対して一般的な攻撃パターンが含まれている場合に、 リスクが顕在化する - システム管理者が設定した任意の値（ユーザー名 etc..）に攻撃コードが含まれると、ユーザー画面でリスクが顕在化する - ソーシャルエンジニアリングの手法を活用するなど、ユーザーに不正なデータを挿入させた場合に、リスクが顕在化する - Reqesut Header を改ざんしてサーバーにデータを送信した場合に、リスクが顕在化する ◇ CWE タイプが XSS の場合 C ：機密性への影響 （情報漏えいの可能性 / Confidentiality Impact ） I ：完全性への影響 （情報改ざんの可能性 / Integrity Impact ）A ：可用性への影響 （業務停止の可能性、 Availability Impact ） 以下の値で固定とします。 - C:N / I:P /A:N ◇ CWE タイプが SQL インジェクションの場合 - 参照系のクエリのみ実行できる場合は、C:P / I:P /A:P とします。 - 更新系のクエリも実行できる場合は、C:C / I:C /A:C とします。
seccon 富山前日勉強会 LT
- 1.
- 2. 自己紹介 サイボウズ株式会社でサービス / プロダクトの脆弱 性検証を行うチームに所属しています その他、自社のセキュリティ品質の向上のための 活動をしています。 POC対応 組織内のセキュリティ全般 Security Challenge の運営
- 3. 脆弱性情報のハンドリング 専用の不具合管理（脆弱性 Box）に登録 脆弱性を CWEタイプで分類 脆弱性を CVSS v2 を使って評価 評価結果を元に、より深刻な脆弱性から改修、公 開
- 4.
- 5. CVSS v2 情報システムの脆弱性に対するオープンで汎用的 な評価手法（ CommonVulnerability Scoring System ） http://www.ipa.go.jp/security/vuln/CVSS.html 脆弱性のリスクを定量化できる 機密性（C）、完全性（I）、可用性（A）の侵害具合 攻撃の難易度（Ac）、攻撃者の認証要否（Au） 攻撃元区分（AV）
- 6.
- 7.
- 8.
- 9. 運用上の工夫 CWE タイプごとに、CIA の侵害度に関するガイド ラインを策定 他機関（IPA/ NIST）の評価結果との差異を減らすた め 「攻撃の難易度」については、JVNiPedia の評価方 法をベースラインとして参照 これまでに検出された脆弱性と、JVNiPedia に登録さ れている評価結果をもとに、ガイドラインを策定 抽象的な評価基準だけだと、担当者ごとに評価がぶ れることが多い
- 10. ガイドラインの例 AC ：攻撃条件の複雑さ (AccessComplexity) の評価 ベースライン 特別な攻撃条件を必要とせず、対象システムを常に 攻撃可能である ガイドライン 入力フォームに登録された値が原因となって、リス クが顕在化 API の JSON 文字列の中に含まれる値を改ざんするこ とで、リスクが顕在化
- 11. 運用上の課題 採用していない CWE に関する評価を行う際には、 つど検討が必要 複数の脆弱性を引き起こす攻撃や、複数の脆弱性 が組み合わさって被害が発生するような問題を評 価できない CVSSv3 に期待！ http://www.first.org/cvss/v3/development
- 12.