Download as PDF, PPTX
Uploaded byRiotaro OKADA
シフトレフト戦略と沖縄県
2017年3月23日「沖縄サイバーセキュリティネットワークセミナー IoT時代におけるセキュリティビジネスの創出に向けて」における講演
More Related Content
シフトレフト戦略と沖縄県
- 1. シフトレフト戦略と沖縄県 OWASP Japan Lead HardeningProject オーガナイザ 株式会社アスタリスク・リサーチ 岡田良太郎 riotaro@owasp.org Enabling Security ©Asterisk Research, Inc. 1
- 2. Enabling Security ©Asterisk Research, Inc. 2 産経新聞平成29年3月14日 生活面 ２週間で５千ダウンロード超と、このジャ ンルの本としては記録的な数字を示した。 検索：NO MORE 情報漏えい
- 3.
- 5. • OWASP NAGOYA2017 設立予定 • OWASP FUKUSHIMA 2016 金子正人・山寺純 • OWASP OKINAWA 淵上真一・又吉伸穂 • OWASP SENDAI 2015 小笠貴晴・佐藤ようすけ • OWASP KYUSHU 2015 服部 祐一・花田智洋 • OWASP KANSAI 2014 長谷川陽介・斉藤太一・三木剛 • OWASP JAPAN 2011 岡田良太郎・上野宣 ⽇本のチャプター (地域の集まり)
- 6. OWASP Top 10グローバルで⼤⼈気 ©2016 Asterisk Research, Inc. 6 出典：SANS Institute (2015)
- 7. https://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project • アタックサーフィスの概説 • 脅威エージェント •攻撃の経路（アタックベクター） • セキュリティの弱点 • 技術面のインパクト • ビジネス面のインパクト • 脆弱性の例 • 攻撃の例 • この問題を避けるガイダンス • OWASP、他のリソース・参照情報 • 製造者、開発者、消費者それぞれ が考慮すべきことのリスト I1 安全でないウェブインターフェース I2 欠陥のある認証・認可機構 I3 安全でないネットワークサービス I4 通信路の暗号化の欠如 I5 プライバシー I6 安全でないクラウドインターフェース I7 弱いモバイルインターフェース I8 設定の不備 I9 ソフトウェア・ファームウェアの問題 I10 物理的な問題 OWASP Internet of Things Project
- 8. OWASP OpenSAMM 77項⽬で開発運⽤チームの強度を調べる ©2015 Asterisk Research, Inc.8 ソフトウェア開発 ガバナンス 構築検証 デプロイ 戦略＆指標 ポリシー＆コンプライアンス 教育＆指導 脅威の査定 セキュリティー要件 セキュアなアーキテクチャ 設計レビュー コードレビュー セキュリティテスト 脆弱性管理 環境の堅牢化 運用体制の セキュリティ対応 ep s
- 9.
- 10.
- 11. 脅威 vs 対策 %of Attacks 90% データ侵害の原因 95% 5% 報告されたセキュリ ティ侵害の原因の 95％はアプリケー ション層 検査した95％以上 のサイトは深刻な脆 弱性を抱えている NIST アプリケーションの セキュリティ確保に 気を配っていない。 セキュリティ関連支出 の大半がネットワーク に費やされている。 Network Applications % of Dollars セキュリティ支出 10% 90%
- 12.
- 13.
- 14.
- 15.
- 16.
- 17.
- 18. 98% or 68% Enabling Security©Asterisk Research, Inc. 18
- 19.
- 20.
- 21. シフトレフト！ 0 20 40 60 80 100 設計 構築 検証運用 1 6.5 15 対応コスト 100 ©Asterisk Research, Inc. 21 SHIFT LEFT 原因85
- 22. 事前の策：OWASP Proactive Controls Enabling Security©2016 Asterisk Research, Inc. 22 OWASP Top 10 Proactive Controls 2016 1: 早期に、繰り返しセキュリティを検証する 2: クエリーのパラメータ化 3: データのエンコーディング 4: すべての⼊⼒値を検証する 5: アイデンティティと認証管理の実装 6: 適切なアクセス制御の実装 7: データの保護 8: ロギングと侵⼊検知の実装 9: セキュリティフレームワークやライブラリの活⽤ 10: エラー処理と例外処理 ⽇本語もあります https://www.owasp.org/images/a/a8/OWASPTop10ProactiveControls2016-Japanese.pdf
- 23.
- 24.
- 25. • WordPress: 423,759 • PHP: 3,617,916 • Apache: 1,832,007 • Linux: 18,963,973
- 26.
- 27. DevSecOps = 開発x セキュリティ x 運⽤ ビジネス要件 カイハツ 運用 セキュリティ ウォーター フォール アジャイル DevOps DevSecOps !
- 28. 予防的開発 x 繰り返し検証x 連携運⽤ Ops Sec Dev Enabling Security ©Asterisk Research, Inc. 28 1. 予防的開発： リスクとポリシー ガイドラインと教育 適した材料選び 2. 繰り返し検証： ⾃動ツールの活⽤ 最短時間で問題認識 検証結果の統合と共有 3. デプロイ・運⽤： 確実なアップデート 正常と異常の⾒極め 開発へのフィードバック
- 29.
- 30.
- 31.
- 32.
- 33.
- 34.
- 35.
- 36.
- 37.
- 38.
- 39.
- 40.
- 41.