はじめまして，Webセキュリティ！ / Welcome to the Web security world!

2019/04/20 ITエンジニアぴよぴよ会＠やまぐち　にて登壇したスライドです。

Transcript

1. PIYOPIYO@YAMAGUCHI Welcome to the Web security world! はじめまして， Webセキュリティ！ うべこうせん はすみ(@hsm_hx)
2. 今日お話すること セキュリティって何？ どうやって攻撃するの？ どうやって守るの？
3. セキュリティって何？ WHAT IS CYBER SECURITY?
4. セキュリティとは？ セキュリティ（英: security）は、人、住居、地域社会、国家、 組織、資産などを対象とした、害からの保護。 一般には保安の ことであり、犯罪や事故などを防止するための警備全般を指す。 出典 : セキュリティ - Wikipedia
5. セキュリティとは？ 要するに，(情報技術を扱う上では) サイバー犯罪に遭わないための対策
6. サイバー犯罪とは？ ソフトウェアやサービスの脆弱性を狙った攻撃
7. サイバー犯罪とは？ ソフトウェアやサービスの脆弱性を狙った不正攻撃 SNSのアカウントの乗っ取り フリーソフトにウイルスを仕込む ゲームを改造する(チート) Webサイトの情報を抜き取る
8. サイバー犯罪とは？ ソフトウェアやサービスの脆弱性を狙った不正攻撃 SNSのアカウントの乗っ取り フリーソフトにウイルスを仕込む ゲームを改造する(チート) Webサイトの情報を抜き取る Webセキュリティの領域
9. どうやって攻撃するの？ HOW TO EXPLOIT WEB APPLICATION?
10. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース
11. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース
12. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース
13. どうやって攻撃するの？ サーバーへのリモートアクセス ssh mysql -h パスワードを総当たりで攻撃し， 無理やり遠隔でサーバーの管理権限を乗っ取る
14. どうやって攻撃するの？ Webアプリケーションの構成 Web アプリケーション データベース
15. どうやって攻撃するの？ Webアプリケーションの脆弱性を利用 クロスサイトスクリプティング(XSS) SQLインジェクション OSコマンドインジェクション ディレクトリトラバーサル
16. どうやって攻撃するの？ 投稿フォームやHTTPリクエストに細工することで 任意のコマンドやプログラムを実行できてしまう →実質的なサーバーの管理権限の奪取
17. どうやって守るの？ CAN I PROTECT MY APPLICATION FROM INSIDENTS ?
18. どうやって守るの？ サーバーへのリモートアクセス ssh mysql -h パスワードを総当たりで攻撃し， 無理やり遠隔でサーバーの管理権限を乗っ取る
19. どうやって守るの？ サーバーへのリモートアクセス ssh mysql -h リモートアクセスできない設定にする 認証方式を変える(パスワードだと総当たりされやすい！)
20. どうやって守るの？ Webアプリケーションの脆弱性を利用 クロスサイトスクリプティング(XSS) SQLインジェクション OSコマンドインジェクション ディレクトリトラバーサル
21. どうやって守るの？ Webアプリケーションの脆弱性を利用 脆弱性を塞ぐ(!!!)
22. どうやって守るの？ Webアプリケーションの脆弱性を利用 脆弱性を塞ぐ(!!!) <script>の"<"をエスケープする(文字として扱う) 適切なライブラリや言語機能を使う 使うツール群を最新のものに保つ
23. どうやって守るの？ どのような場合でも，Webサーバのログは監視する ↑ 実際に攻撃を受けているログ
24. どうやって守るの？ 一番大事なのは 攻撃手段を知ること
25. どうやって守るの？ 一番大事なのは 攻撃手段を知ること Capture the Flag(CTF)の大会 SECCON for Beginners セキュリティ・ミニキャンプ
26. 安全で楽しい開発ライフを Good Noods Cafe • 2020
27. 宣伝 Good Noods Cafe • 2020 ITエンジニアぴよぴよ会@やまぐち その2 いつ：5月25日(土) 13:00～ どこ：宇部新川駅から徒歩5分　うべスタートアップ なに：みんなで集まって情報交換をしながら作業 　　　(もくもく会) だれ：山口県やその周辺に住む人　初心者メイン ただ作業するだけでも他の人の作業風景を見ることで 普段とは違う経験が得られたりもします　ぜひ来てください ぴよぴよ会　やまぐち