CI勉強会福岡でのVAddy発表資料

1. Copyright
(c)
Bitforest
Co.,
Ltd.
継続的Webセキュリティテスト!
VAddy
2015/2/19 VAddy Meetup
1
株式会社ビットフォレスト
市川

2. Copyright
(c)
Bitforest
Co.,
Ltd.
自己紹介
• @cakephper / @ichikaway
• Fukuoka.php勉強会主催
• PHPカンファレンス福岡主催
2

3. Copyright
(c)
Bitforest
Co.,
Ltd.
重要
3
PHPカンファレンス
福岡
2015/6/27(土)

4. Copyright
(c)
Bitforest
Co.,
Ltd.
重要
4
CIと連携して
セキュリティテストを
実現するサービス

5. Copyright
(c)
Bitforest
Co.,
Ltd.
テストの普及
• 不具合の検出
• 再発防止
• リファクタリング・アップデート
5

6. Copyright
(c)
Bitforest
Co.,
Ltd.
忘れがちなテスト
• セキュリティテスト
• 今回はWebの脆弱性検査の話
• パフォーマンステスト
• loader.ioなど
6

7. Copyright
(c)
Bitforest
Co.,
Ltd.
セキュリティテストの重要性
• 情報漏洩
• 改竄、マルウェアの配布
• 他サイトへのリスト型攻撃に悪用
7
損害賠償、２次被害など影響が大きい

8. Copyright
(c)
Bitforest
Co.,
Ltd.
8
セキュリティテスト
必須の時代に

9. Copyright
(c)
Bitforest
Co.,
Ltd.
Webセキュリティテスト
• ホワイトボックス
• ソースコード解析(ex.
brakeman)
• ブラックボックス
• 攻撃用HTTPリクエストを送信してレスポ
ンスを確認
• ex.
VAddy,
OWASP
ZAP,
AppScan
9

10. Copyright
(c)
Bitforest
Co.,
Ltd.
セキュリティテスト 現状の問題点
10
開発チーム
外部の診断会社
社内の専門チーム
コーディング
単体テスト
結合テスト
脆弱性診断
開発チーム
修正
リリース
問題点
!
• リリース直前に大量の脆弱性発見
• スケジュール遅延
• リリース後の修正・機能追加
• 診断が難しい(コスト・期間)

11. Copyright
(c)
Bitforest
Co.,
Ltd.
11
理想的には
開発初期から
リリース後まで

12. Copyright
(c)
Bitforest
Co.,
Ltd.
12
継続的な
セキュリティテスト
が必要

13. Copyright
(c)
Bitforest
Co.,
Ltd.
世界の流れ
• Google
• GTAC
2013:
Finding
XSS
at
Google
Scale
• 社内で独自ツールを使ってチャレンジ中
• https://www.youtube.com/watch?v=rd5TZKRg-­‐lc
13

14. Copyright
(c)
Bitforest
Co.,
Ltd.
世界の流れ
• カーネギーメロン大学ソフトウェア工学部
• http://blog.sei.cmu.edu/post.cfm/security-­‐
continuous-­‐integration-­‐338
14

15. Copyright
(c)
Bitforest
Co.,
Ltd.
継続的Webセキュリティテスト
15
開発チーム
外部の診断会社
社内の専門チーム
コーディング
単体テスト
結合テスト
脆弱性診断
開発チーム
修正
リリース
継続的セキュリティテスト
開発チーム
コーディング
単体テスト
結合テスト
リリース
脆弱性診断
本リリース前には、診断会社の診断を。

16. Copyright
(c)
Bitforest
Co.,
Ltd.
継続的Webセキュリティテストの課題
• 既存のツールを使う場合
• 設定項目が多くノウハウを貯める必要
• 環境構築・運用コスト
• CIのフローに乗せるのが大変
16

17. Copyright
(c)
Bitforest
Co.,
Ltd.
17
継続的
セキュリティテストを
簡単に実現する
サービスが必要

18. Copyright
(c)
Bitforest
Co.,
Ltd.
18
CIサイクルに組込めて
簡単に導入でき
運用が不要なサービス

19. Copyright
(c)
Bitforest
Co.,
Ltd.
19
継続的Webセキュリティテストサービス
Vulnerability
Assessment
is
your
Buddy
（脆弱性診断はあなたの相棒）

20. Copyright
(c)
Bitforest
Co.,
Ltd.
VAddyの特徴
• ブラックボックスのWeb脆弱性診断
• インストール不要
• CI連携を前提に設計
• WebAPI連携
• 無人の運用が必須
20

21. Copyright
(c)
Bitforest
Co.,
Ltd.
VAddyの特徴
• セキュリティ検査エンジンを独自開発
• ユーザが行う設定作業を最小限に
• 機械学習の機能を持ったエンジン
• 無人でもうまく動くツール
• 常にアップデート
21

22. Copyright
(c)
Bitforest
Co.,
Ltd.
VAddyの特徴
• セキュリティエキスパートが開発・運用
• 国内No.1のSaaS型WAF
Scutumの開発運用を6
年行っているチーム
• http://scutum.jp
22

23. Copyright
(c)
Bitforest
Co.,
Ltd.
VAddyの現状(2015/3 現在)
• 無料プランのみ提供中
• 何度でもスキャン実行可能
• SQLインジェクション、XSS
• Jenkinsプラグイン提供中
• Rubyクライアント提供中
• CircleCIなどに対応
23

24. Copyright
(c)
Bitforest
Co.,
Ltd.
よくある構成
24

25. Copyright
(c)
Bitforest
Co.,
Ltd.
Jenkins VAddyプラグイン提供中
25
https://wiki.jenkins-­‐ci.org/display/JENKINS/VAddy+Plugin

26. Copyright
(c)
Bitforest
Co.,
Ltd.
HipChat通知
26

27. Copyright
(c)
Bitforest
Co.,
Ltd.
VAddyのミッション
27
継続的
セキュリティテスト
文化の普及

28. Copyright
(c)
Bitforest
Co.,
Ltd.
28
継続的な
セキュリティテストで
安心してリリースすることが
今後のトレンドになる

29. Copyright
(c)
Bitforest
Co.,
Ltd.
29
Vulnerability
Assessment
is
your
Buddy（脆弱性診断はあなたの相棒）
デモ

30. Copyright
(c)
Bitforest
Co.,
Ltd.
VAddyの操作 3ステップ
• STEP1
テスト対象サーバ登録
• authファイルの設置
• STEP2
検査対象のクロール
• Webアプリケーションの画面操作
• STEP3
スキャン実行（画面
/
WebAPI)
• 結果参照
30

31. Copyright
(c)
Bitforest
Co.,
Ltd.
クロールとは？
31

32. Copyright
(c)
Bitforest
Co.,
Ltd.
クロールとは？
32
アプリケーションの
操作記録を保存
(URL、パラメータ、
ログイン情報など）
ブラウザのProxy設
定にてVAddy
Proxy
をセットし、Web
アプリケーション
を操作

33. Copyright
(c)
Bitforest
Co.,
Ltd.
何故手動クロールが必要か？
• 自動クロールの限界
• 時間がかかる
• リンク切れURL
• 認証画面情報
• アプリケーション特有の動作
33

34. Copyright
(c)
Bitforest
Co.,
Ltd.
• 検査対象のアプリを一番良く知っている人
• お客様（開発者、テスター、発注者）
• SeleniumなどのE2Eテストが普及
• このデータをクロールに流用すれば！！
34
何故手動クロールが必要か？

35. Copyright
(c)
Bitforest
Co.,
Ltd.
手動クロールのメリット
• 検査漏れ、設定項目を減らす
• 精度の高いスキャンが可能
• 検査時間のコントロール
• スキャン不要な箇所はクロールしなけれ
ばスキャン時間が短縮できる
35

36. Copyright
(c)
Bitforest
Co.,
Ltd.
現状、可能な検査(SQLi, XSS) -2015年3月
• GET/POST/PUT/DELETEのパラメータの検査
• RestAPI対応、パラメータがJSON対応
• URLパスのパラメータ検査
• www.example.com/item/view/1
• フォーム認証（ログイン画面）
• CSRF対策トークン
• SSL上のアプリケーション
36

37. Copyright
(c)
Bitforest
Co.,
Ltd.
37
Vulnerability
Assessment
is
your
Buddy（脆弱性診断はあなたの相棒）
FAQ