LayerXとMDMのリスク評価と年次対応の実例(公開版）

#脅威モデリング オープンコミュニティにおける　脅威モデリングナイト #1 in Tokyo　の発表資料です。
非公開版については、面談経由でお話いたします
https://threatmodeling.connpass.com/event/318433/

Transcript

1. @ken5scal, 2024/06/13 ϦεΫධՁͱ ೥࣍ରԠ
2. Πϯτϩ
3. - ڴҖϞσϦϯάʢͱ͍͏͔ϦεΫධՁ…ʣ͸੕ͷ਺΄Ͳ͋Δ - ͦͷԼҐϞσϧͰ͋Δۀ຿ϑϩʔ΍੬ऑੑ؅ཧ΋੕ͷ਺΄Ͳ͋Δ - ͿͬͪΌ͚ॳճΤΠοͱ΍Δ͚ͩͳΒͳΜͱ͔ͳΔ - ௨೥ͦͯ͠਺೥Λ௨͠ɺมԽʹ߹Θͤͨӡ༻ɾӡӦ͕Ή͍ͣ - ӡ༻ɾӡӦͷࣄྫΛग़ͤɺࣄྫΛɻ - ·ͣ͸ݴ͍ग़ͬ͠΃͔Βɻ - ͦΕʹ൐͏ٞ࿦ͷ׆ൃԽ٩(Ň•̀ω•́Ň)و - ౰ࣾ΁ͷڵຯΛ͋͛Δ ࠓ೔ͷഎܠɾ໨త
4. - ॴଐ - ࡾҪ෺࢈σδλϧɾΞηοτϚωδϝϯτ - ίʔϙϨʔτγεςϜ෦: DevSecOps, Corp Eng౳ - LayerX Fintechࣄۀ෦ʢˢʹग़޲ʣ - ݸਓ׆ಈ - िؒχϡʔεϨʔλʔɺPodCastɺಉਓࢽ - དྷྺ - ۚ༥ܥSIer > ࢿ࢈؅ཧɾՈܭ฽ɾձܭSP > ূ݊ձࣾ > ݱ৬ - ͳΜ͔ͩΜͩFintech/ূ݊ܥʹ͍Δ - ࠷ۙ͸σʔλΤϯδχΞϦϯάΛཤमத @ken5scal χϡʔεϨλʔ: https://ken5scal.notion.site/54bda4932da14add9e9911ab3e9a6e5c podcast: https://open.spotify.com/show/73sFeKzUIkSYfCZWVBNO70
5. - Ϧετ - Ϧετ - Ϧετ - Ϧετͷڧௐจࣈ - Ϧετ ݟग़͠ https://speakerdeck.com/layerx/company-deck
8. ݁࿦ʢ݁࿦ͱ͸͍ͬͯͳ͍ʣ
9. ࠓ೔ͷഎܠ ΨοπϦՇ ஫: ຊஶͷஶऀʢੴ઒͞ΜʣͱεϐʔΧʔ͸ಉ͡ձࣾʹ͍ͨ͜ͱ͕͋Γ·͢
10. ࠓ೔ͷഎܠ ͋Δఔ౓ɺՇ (STRIDE, Diamond modelΛ࣮ફ ͕ͨ͋͠Θͳ͔ͬͨ౰ࣾͷҙݟʣ
11. ࠓ೔ͷഎܠ ͋Δఔ౓ɺՇ ࢛൒ظɾ൒ظɾ೥࣍Ϩϙʔτ౳
12. - ͿͬͪΌ͚ଞࣾͷ೰Έฉ͖͍ͨɾҰॹʹ೰Έ͍ͨ - ౰ࣾͷ೰Έ - ࢒ଘ੬ऑੑͷείΞʢଥ౰ੑɺΞϧΰϦζϜߋ৽ɺՄٯੑʣ - νʔϜߏ੒ - Ͳ͏ίϛοτͤ͞Δ͔ - ޿͞ΛऔΔ͔ɺਂ͞ΛऔΔ͔ - λΠϜϥΠϯ - ͕࣌ؒ͋·ͬͨͱ͖ʹ͔͍ͭ·ΜͰ࿩͍ͨ͠ͷͰɺฉ͖͍ͨ಺༰͕͋͋Ε͹ʮ#ڴҖϞσ Ϧϯά #೰ΈʯͰͭͿ΍͍͍ͯͩ͘͞ ࠓ೔ͷਅɾཪ໨త
13. Ұൠ࿦ ஫: ʮ ڴҖΠϯςϦδΣϯεͷڭՊॻʯͱͯ͠ͷҰൠ࿦
14. - ϦεΫ: “૝ఆ͞ΕΔڴҖ͕৘ใࢿ࢈ͷ࣋ͭ੬ऑੑΛѱ༻ͨ݁͠ Ռɺ૊৫ʹରͯ͠ѱӨڹΛ༩͑ΔજࡏՄೳੑ” - ࢿ࢈ x ੬ऑੑ x ڴҖ - ੬ऑੑ: “ٕज़ɾϓϩηεͳͲʹ಺ࡏ͢ΔαΠόʔηΩϡϦςΟ ্ͷܽ఺ɾܽؕ” - ٕज़ɾϓϩηεɾਓ ϦεΫ
15. ϦεΫ؅ཧͷΞϓϩʔν 1-1 ܦӦͱηΩϡϦςΟͷᓔੵ , CISOͷͨΊͷ৘ใηΩϡϦςΟઓུ
16. ϦεΫ؅ཧͷΞϓϩʔν 1-1 ܦӦͱηΩϡϦςΟͷᓔੵ , CISOͷͨΊͷ৘ใηΩϡϦςΟઓུ
17. ϦεΫ؅ཧͷΞϓϩʔν 1-1 ܦӦͱηΩϡϦςΟͷᓔੵ , CISOͷͨΊͷ৘ใηΩϡϦςΟઓུ - ISMSͷ؅ཧࡦ: ໿90ۙ͘ - FISCͷج४ɿ໿300ۙ͘ - ਌ձࣾΨΠυϥΠϯ: ໿230ۙ͘ - ͔͠΋Ұ෦͸ҟͳΔจݴͰඃ͍ͬͯΔɻ
18. ϦεΫ؅ཧͷΞϓϩʔν 1-1 ܦӦͱηΩϡϦςΟͷᓔੵ , CISOͷͨΊͷ৘ใηΩϡϦςΟઓུ - ༏ઌॱҐ͕͚ͭͮΒ͍ - ಘΒΕΔΞ΢τΧϜ͕ɺୡ੒཰xx%͘Β͍ - 0~100ͷ͏ͪ1Ͱ΋΍͍ͬͯͨΒʮ΍͍ͬͯΔʯͱ Ԡ͑ΒΕΔ
19. ϦεΫ؅ཧͷΞϓϩʔν 1-1 ܦӦͱηΩϡϦςΟͷᓔੵ , CISOͷͨΊͷ৘ใηΩϡϦςΟઓུ
20. 1. “ηΩϡϦςΟΛ೦಄ʹγεςϜܭըɾߏஙɾҡ࣋Λߦ͏ଶ੎͕͋Δ” 1. ࢿ࢈؅ཧɺύον؅ཧɺ੬ऑੑ؅ཧɺಛݖ؅ཧɺύεϫʔυ؅ཧ ͳͲͷجຊతͳऔΓ૊Έ • NIST CSF, SP800, CISίϯτϩʔϧʢv7 basicʣ౳ 2. “ਓ͕ܧଓతʹؔ༩ͤͣɺҰ؏ੑͷ͋Δ๷ޚϝΧχζϜΛ༗͍ͯ͠Δ” 1. ଟ૚๷ޚ ڴҖΠϯςϦδΣϯεʢΛ༗ޮʹ׆༻͢Δʣʹඞ༻ͳ੒ख़౓
21. ౰ࣾͷ࣮ફ
22. - ϒϩοΫνΣʔϯࣄۀ͔ΒͷϐϘοτ - ಉ࣌ෳ਺ࣄۀ෦্ཱͪ͛ - ≒͚͜Ε͹ձࣾɾࣄۀ͕ࢮ͵ - ௒Τϯϓϥͱͷڠۀ͔Βɺ୯७ͳSaaSར༻ऀ·Ͱސ٬૚͕޿͍ - ࠷ॳͷηΩϡϦςΟϚϯʢken5ʣͷ݉຿ͱ݉຿ - ࣄۀ໨తͰηΩϡϦςΟଶ੎ͷ੔උ͕։࢝͞ΕΔʢ޾ӡʣ എܠ(2021)
23. - ෳ਺ࣄۀʹద༻Ͱ͖ΔΑ͏ - ৽نࣄۀͷͨΊͷϕʔεϥΠϯॏࢹ - ݴ͏ͯόΫϥΫͰ͢Β5೥ະຬͷαʔϏε - ڴҖϕʔε͸ʮΠϯγσϯτʯ΍ʮใࠂॻʯ͔Βʮ౰ࣾʹࢗ͞Δ΋ͷʯΛݫબ - ྫ: LastPass / Okta, APT29 - ݉຿ͷݶք͔Β୭ʹͰ΋Ҿ͖ܧ͛ΔΑ͏ - ౰ࣾͷόϦϡʔͰ͋ΔʮσδλϧԽʯ - ITԽ≠σδλϧԽ ηΩϡϦςΟଶ੎ͷϙΠϯτ
24. ̍೥໨
25. ϦεΫ؅ཧͷΞϓϩʔν 1-1 ܦӦͱηΩϡϦςΟͷᓔੵ , CISOͷͨΊͷ৘ใηΩϡϦςΟઓུ ←ิ׬ؔ܎ͱΈͳ͠ɺλΠϜϦϛοτ಺ͰՄೳͳݶΓ ࣮γεςϜΛௐ΂ɺجຊɺະରࡦͷ෦෼ʹूதɻߋͳ ΔूதϙΠϯτͱͯ͠ݫબͨ͠ڴҖϕΫτϧΛબఆˠ
26. 1೥໨: γεςϜϦεΫධՁͷۀ຿ϑϩʔ࡞੒ https://oss-db.jp/dojo/dojo_info_04
27. - ʮσδλϧԽʯʹ͋ͨͬͯ͸ྑ࣭ͳσʔλ͕ඞਢʂ - ϦεΫධՁϑϩʔͷղ૾౓ʹҧ͍͋Γ - ۀ຿ͷચ͍ग़͠ -> ղ૾౓ߴ - ڴҖධՁ -> ղ૾౓௿ - ෳ਺ࣄۀମʹΑΔه࿥Λڞ௨తʹݟฦ͢ඞ༻ 1೥໨: σʔλεΩʔϚΛఆٛ https://oss-db.jp/dojo/dojo_info_04 εΩʔϚͱਖ਼نԽΛ࣮ࢪ
29. - ॏෳ͕ͳ͘ͳΔܗͰςʔϒϧΛ෼ׂͰ͖ͨ͜ͱʹΑΓɺςʔϒϧ͝ͱͷΦʔ φʔ΋ఆٛͰ͖ͨ - ୭͕ͲͷσʔλΛอ࣋͠ɺϝϯςΛ͠ͳ͚Ε͹͍͚ͳ͍͔੹຿ΛΘ͚΍͍͢ - ௒ڊେͳ̍ͭͷϑΝΠϧʹ͠ͳ͍͜ͱͰՄࢹੑ޲্ - πʔϧΛҙ޲ͯ͠΋ɺ੔߹ੑ͕อͨΕΔ - (2021) Notion -> (2024) ςʔϒϧԽ͕Մೳͱͳͬͨεϓγ - ΠϯαΠτΛಘΔͨΊͷ෼ੳ͕΍Γ΍͘͢ͳΔ - ࡶͰ΋͍͍ͷͰ࢝Ίͳ͍ͱҰੜͰ͖ͳ͍ ਖ਼نԽʹΑΓ͑ΒΕͨϝϦοτ https://oss-db.jp/dojo/dojo_info_04 ਺গͳ͍ʮࣗ৴Λ΋ͬͯʯ΍ͬ ͯΑ͔ͬͨͱ͍͑Δ΍ͭ
30. 1. ϦεΫධՁͷख๏Λೖྗ 2. ςʔϒϧઃܭͷํ਑Λࢦࣔ 3. ਖ਼نԽͷࢦࣔ
31. 1. ʢNotionͰඳըͰ͖ΔΑ͏ʹʣERਤΛmermaidه๏Ͱ ࡞੒͢ΔΑ͏ࢦࣔ
32. - Ϧετ - Ϧετ - Ϧετ - Ϧετͷڧௐจࣈ - Ϧετ ݟग़͠
33. - Ϧετ - Ϧετ - Ϧετ - Ϧετͷڧௐจࣈ - Ϧετ ݟग़͠ ۀ຿ςʔϒϧ ࢒ଘ੬ऑੑςʔϒϧ ڴҖςʔϒϧ ϦεΫධՁςʔϒϧ
34. ۀ຿ςʔϒϧ ࣄۀͷӨڹʹूத -> ि࣍ɾ݄࣍ɾ4൒ظ౳ͷܦӦձ͔ٞΒٯࢉͯ͠ ॏࢹͯͦ͠͏ͳۀ຿͕ߴ͘ͳΔΑ͏είΞ
35. ࢒ଘ੬ऑੑςʔϒϧ ϕʔεϥΠϯͱڴҖϕʔε྆ํʹ ରԠͰ͖ΔΑ͏ͳϦεΫܭࢉํ๏
36. ࢒ଘ੬ऑੑςʔϒϧ
37. ϦεΫରԠࢪࡦςʔϒϧ
38. - ि࣍ɾ݄࣍ɾ4൒ظ౳ͷܦӦձٞɺސ٬ΠϯλϏϡʔɺܦӦऀͷաڈ ͷൃݴ౳͔Βٯࢉͯ͠ɺॏࢹͯͦ͠͏ͳσʔλ͔Βٯࢉ - ֤ϓϩμΫτΦʔφʔ͔Βۀ຿ϑϩʔΛ΋Β͍ɺͬ͟ͱ೺Ѳ - ඞཁʹԠͯࣗ͡෼Ͱ5w1hΛ௥ه - ࡞ͬͯͳ͍ͱ͜͸ࣗ෼Ͱ࡞Δ - ࣄۀʢຊʣ෦௕ͱܦӦਞʹɺ࠷ॏཁࢿ࢈ͷબఆΛ͓ئ͍ - ͦͷपลͷۀ຿ΛΨοπϦௐ΂ࠐΈ 1೥໨: Crown JewelΛαΫοͱબఆ
39. 1೥໨: ͬ͘͟ΓڴҖείʔϓΛܾΊΔ ׂΓ੾ͬͯɺ͜͜͸ଐਓ্౳ɺ͋͑ͯܕԽ͠ͳ͔ͬͨ
40. ࠓ೔ͷഎܠ ·ͣ͸Info StealerܥͷΞλοΫύεʹدͤͯ·͢
41. - جຊతʹશ෦1ਓͰ΍Δ - ࢒ଘ੬ऑੑચ͍ग़͠ʙϦεΫධՁ·Ͱ: ken5 - ϦεΫධՁʙ೥࣍ϦεΫରԠ·Ͱ: ݱ৔ + ken5 - ސ٬਺΋গͳ͘ɺαʔϏε΋ۦ͚ग़ͩͬͨ͠ͷͰߏ੒΋ γϯϓϧͩͬͨʢ࣮૷ϨϕϧͰ೺ѲͰ͖ͨʣ 1೥໨: ࢒ଘ੬ऑੑચ͍ग़͠ʙ೥࣍ϦεΫରԠ·Ͱ
42. 2೥໨~
43. !? ݟग़͠
44. - όΫϥΫαʔϏεഒ૿ - ୯७ʹݟΔ΂͖ϦιʔεͷഒԽ - ෳࡶͳ૊৫ߏ੒ʹΑΔΦʔφʔγο ϓͷ෼ࢄ - ϒϩοΫνΣʔϯࣄۀ෦ -> Trusted Computingܥࣄۀ -> Privacy Techࣄۀ -> AI/LLMࣄۀ - 1.5೥΄ͲͰθϩ͔Β࢝·Δʮࣄۀʯ ݟग़͠
45. 2೥໨: ੹೚෼ք
46. 2೥໨: खҾ࡞੒
47. - ۀ຿ϑϩʔ͸ - ۀ຿ར༻͍ͯ͠Δ΋ͷΛ - ͳ͚Ε͹ςϯϓϨΛ༻ҙ - ࢒ଘ੬ऑੑͷ - ೖྗํ๏΍ߟ͑ํΛఏڙ - શମతͳεέδϡʔϧ΋ఏڙ 2೥໨: τϨʔχϯά
48. 2೥໨: τϨʔχϯά
49. ՝୊
50. - ৘ใࢿ࢈DBͱͷ࿈ܞ - ಛʹAttack Surfaceʹؔ࿈͢Δࢿ࢈ͱ͸ܨ͍͛ͨ - एׯɺۀ຿ΧοτʹΑ͍ͬͯΔͷͰIntegrationํ๏͕೉͠ ͍ ͏·͍ͬͯ͘ͳ͍͜ͱ - ະղܾ
51. - ࢒ଘ੬ऑੑͷείΞͷӡ༻ - ඪ४Խ͠ͳ͚Ε͹ҙຯ͕ͳ͍ - ίϯϓϥతͳඪ४ʢٕज़ରԠɺFISCରࡦج४ʣͱɺείΞͷซ༻͕͏·͍͔ͬͯ͘ͳ͍͔΋ - Ұํɺαʔόʔͷ੬ऑੑͱɺΫϥ΢υαʔϏε্ͷ੬ऑੑʢߏ੒ෆඋʣʹڞ༗͢ΔΑ͏ͳείΞϩδο Ϋ͕೉͍͠ - ͳΜͱͳ͕ͩ͘ɺࢿ࢈ʹԠͨ͡είΞΛ͚ͭΔ͜ͱʹͳΔؾ͕͢Δ - தؒςʔϒϧര஀ͳ༧ײ͕ͩɺNotion/εϓγͰ͸ೝ஌ෛՙ͕ݫ͍͠ - CSPMͱͷ࿈ܞඞཁ - ਖ਼ղ͸ͳ͍ͷͰߋ৽͠ͳ͚Ε͹ͳΒͳ͍͕ɺߋ৽ޙʹͲͷΑ͏ʹաڈσʔλͱ੔߹ੑΛอ͔ͭ - ίϯϓϥΠΞϯεϕʔεͰߟྀ͢Δͱɺ΍ͬͯͳ͍ࢪࡦ͸ࣗಈతʹ࠷େͷϦεΫείΞʹͳͬͯ͠·͏ ͏·͍ͬͯ͘ͳ͍͜ͱ - ະղܾ
52. - ڴҖͷӡ༻ɾܕԽ: ΍Βͳ͔ͬͨ - ڴҖͷʮσδλϧԽʯͷΠϝʔδ͕·ͩͳ͍ - είʔϓΛߜΔͷΈʹ׆༻ - MitreϑϨʔϜϫʔΫͷ૊ΈࠐΈ͸ɺλΫςΟΫε·ͰΧόʔ͢ΔͱେมɻڭՊॻʹ΋͋Δ ௨ΓࣗಈԽ͞Εͳ͍ͱ೉͍͠ - ͓ͦΒ͘ɺίϯϓϥΠΞϯεϕʔεTͱڴҖϕʔεTΛ෼཭͠ࣄʹ౰ͨΔͷͰ͸ͳ͍ͩΖ͏͔ - લऀ͕CSIRTɾޙऀ͕PSIRT?ɹ͋Δ͍͸ύʔϓϧTʁɹ - ૊৫ߏ੒ͷΠϝʔδ͕·͍͍ͩͭͯͳ͍ ͏·͍ͬͯ͘ͳ͍͜ͱ - ະղܾ
53. - ۀ຿ϑϩʔͷཻ౓΍ඪ४Խʁɹଟ෼Ͱ͖ͳ͍ɻɻɻ - ϓϩμΫτΦʔφʔͷר͖ࠐΈ - εΩʔϚߋ৽࣌ͷϚΠάϨʔγϣϯ - ରԠͷཻ౓…௕͘ͶʁରԠ·ͰηοτͰߟ͑Δ͔Βʁ - λΠϜϥΠϯͱϦιʔε: 1q-2q·Δ·Δ࢖͏ɻ্ͱಉ͡ͰධՁ ͷείʔϓʁ ͏·͍ͬͯ͘ͳ͍͜ͱ - ະղܾ
54. - ΢ϧτϥϩϯάͳΤΫηϧ - ಛఆ෦໳͕Ұੜ΍ͬͯ͘Εͳ͍ - ධՁ΁ͷ૊ΈࠐΈ - Ұ෦ղܾࡁΈ: ࣗಇԽ ͏·͍ͬͯ͘ͳ͍͜ͱ - ղܾࡁΈ
55. ←Ԡื ໘ஊˠ ←ࡶஊ DM (X): @ken5scal