マイクロサービスでのセキュリティパッチ含めた ライブラリ更新のつらみと取り組み / security-jaws-no13-kenjiszk

Security JAWS 【第13回】 勉強会 での登壇資料
https://s-jaws.doorkeeper.jp/events/91099

Transcript

1. ϚΠΫϩαʔϏεͰͷηΩϡϦςΟύονؚΊͨ ϥΠϒϥϦߋ৽ͷͭΒΈͱऔΓ૊Έ Security JAWS ʲୈ13ճʳ 'J/$
   5FDIOPMPHJFT
   !LFOKJT[L
2. 8IP
   BN
   * w 4V[VLJ
   ,FOKJ
   UXJUUFS
   
   !LFOKJT[L
   w 'J/$
   5FDIOPMPHJFT
   w 43&
   &OHJOFFS
   w ϘϧμϦϯά
3. 5PEBZ`T
   5BML
   
   ϥΠϒϥϦߋ৽        #JH
   #BOH 4NBMM
   3FMFBTF 74
4. 4NBMM
   3FMFBTFͷํ͕ྑ͍ w ηΩϡϦςΟ؍఺͔Β
   w ੬ऑੑ͸͋Δ೔ಥવ͘Δ
   w ࠷৽ͷ਺όʔδϣϯʹ͔͠ެࣜύον͕౰ͨΒͳ͍͜ͱ΋
   w ৗʹ࠷৽ʹ௥͍ͭ͘ӡ༻Λ͍ͯ͠ͳ͍ͱಠࣗͷύονΛ౰ͯଓ͚Δ͜ͱ ʹͳΔ
   w ґଘ͢Δύοέʔδ΋όʔδϣϯ্͛Δඞཁ͕͋ͬͨΓ͢Δ
5. ݁࿦ w ࡉ͔͘όʔδϣϯΛ্͍͖͛ͯ·͠ΐ͏      4NBMM
   3FMFBTFT
6. ໰୊ w ϚΠΫϩαʔϏε͕ݸ͘Β͍͋Δ                                                                                                                                                                                             
7. ϚΠΫϩαʔϏεͩͱԿ͕ࠔΔʁ
8. ୯७ܭࢉͰճಉ͡࡞ۀΛ͢Δ
9. ͭͷઐ໳νʔϜͰ͸ରԠͰ͖ͳ͍
10. αʔϏεؒͷґଘ΋ߟ͑Δඞཁ͕͋Δ
11. ֤νʔϜͷҙࣝ΍εΩϧͷ͹Β͖ͭ
12. ͭͷ࡞ۀ΋Ε͕શମʹӨڹ͢ΔՄೳੑ
13. ϝϦοτ΋͋Δ w ن໛͕খ͍͞ͷͰҰͭҰͭͷ࡞ۀྔ͸গͳ͘ͳΔ͜ͱ͕ଟ͍
    w νʔϜؒͰ৘ใڞ༗͕Ͱ͖Δ
    w ৽͍͠ϚΠΫϩαʔϏεͰઌʹ৽͍͠όʔδϣϯΛ࢖͑Δ
    w ܥશମͱͯ͠͸ΧφϦΞͬΆ͘ͳΔ
14. ԿΛ͢΂͖͔ʁ wνʔϜؒͰ৘ใΛԣஅతʹγΣΞͭͭ͠
    wΈΜͳͰؤுΔ
15. ΍ͬͯΈͨ͜ͱ w࢓૊Έ
    wՄࢹԽ
    wࣗಈԽ
    w։ൃνʔϜͰಠཱͯ͠ରԠͰ͖ΔΑ͏ʹ
    w૊৫
    w༗ࢤͰͷ׆ಈͷࢧԉ
    wࡇΓతʹ΍Δ
    wظͷ໨ඪʹೖΕΔ
16. ՄࢹԽ w ֤ΞϓϦέʔγϣϯͷϥΠϒϥ ϦͷόʔδϣϯΛԣஅͯ͠Մࢹ Խ
    w ͲͷΞϓϦέʔγϣϯ͕όʔ δϣϯ͕௿͍··์ஔ͞Ε͍ͯ Δ͔ΛҰ໨ྎવʹ
    w ఆྫͰνΣοΫ
17. ࣗಈԽ w $JSDMF$*ͰϥΠϒϥϦͷΞοϓ σʔτͷ1VMM
    3FRVFTUΛࣗಈͰ ࡞Δ
    w HJUIVCϢʔβʔ͸EFQFOEBCPU ͕ແྉͰར༻ՄೳʹͳͬͨͷͰ ͦͪΒΛ࢖ͬͯ΋͍͍͔΋͠Ε ͳ͍
18. ֤νʔϜͰಠཱͯ͠ಈ͚ΔΑ͏ʹ w 04ϨΠϠʔҎ্͸%PDLFSpMFͰ؅ཧ͍ͯ͠Δ
    w ΋ͱ΋ͱ43&νʔϜ͕%PDLFSpMFΛ؅ཧ͍ͯͨ͠
    w %PDLFSpMFͷ؅ཧ΋֤։ൃνʔϜʹҠৡ
    w ֤νʔϜ͕ಠཱͯ͠04Ҏ্ͷϨΠϠʔͷΞοϓσʔτ͕Մೳʹ
19. ༗ࢤͰͷ׆ಈ w ि̍ճɺ༗ࢤͰू·ͬͯߦ͖ಧ͍͍ͯͳ͍ͱ͜ΖΛαϙʔτ͢Δ
    w %PDLFSpMF
    $*ͷઃఆ
    w ϥΠϒϥϦͷΞοϓσʔτ
    w ݴޠͷόʔδϣϯͷΞοϓσʔτ
    w νʔϜʹΑͬͯ͸ϦϦʔεཱ͕ͯࠐΜͰ͍ͨΓ͢Δ͜ͱ͕͋ΔͷͰɺશମ ͰαϙʔτͰ͖Δମ੍͕ग़དྷΔͱྑ͍
20. ࡇΓతʹ΍Δ
21. ظͷ໨ඪʹೖΕΔ w ηΩϡϦςΟରԠ͕੾ΕΔόʔδϣϯΛ্͛ΔΑ͏ͳΫϦςΟΧϧͳ৔߹ ʹ͸ɺνʔϜͷظͷ໨ඪʹೖΕͯ૊৫ͱͯ͠ઈରʹରԠ͢Δ
22. ͜ͷ׆ಈʹΑΔ੒Ռ΋ݟ͖͑ͯͨ w ओཁͳΞϓϦέʔγϣϯ͸I Ҏ಺ʹ΄΅ରԠ׬ྃ
    w ਺೔Ҏ಺ʹ͢΂ͯͷαʔϏεͷ ߋ৽͕׬ྃ
23. ࠓޙऔΓ૊Έ͍ͨ͜ͱ w 4-0΁ͷ૊ΈࠐΈ
    w ηΩϡϦςΟӡ༻ୡ੒౓ͷ਺஋Խ
    w ࡉ͔͘ϥΠϒϥϦΛߋ৽͠ଓ͚ΒΕ͍ͯΔνʔϜ͸ૉ੖Β͍͠
    w ϚΠΫϩαʔϏεΛ৽͘͠࡞Δ൑அ࣠ͱͯ͠ͷηΩϡϦςΟୡ੒౓
    w ٯʹɺҰఆϨϕϧͰୡ੒Ͱ͖͍ͯͨΒͪΐͬͱ๯ݥ͍͍ͯ͠
24. ·ͱΊ w ·ͩ·ͩ՝୊͕͋Δ
    w ׬શʹ֤νʔϜ͕ࣗ૸Ͱ͖͍ͯΔঢ়ଶ·Ͱ͸ߦ͚͍ͯͳ͍
    w ضৼΓ໾͕ඞཁ
    w $*Ͱͷࣗಈߋ৽Λ΋ͬͱਐԽͤͯ͞ɺ2"΋ؚΊͯ΋ͬͱෛ୲͕ͳ͍Α ͏ͳ࢓૊ΈΛ࡞͍͖͍ͬͯͨ
    w ϥΠϒϥϦߋ৽
    
    εςʔδϯάσϓϩΠ
    
    ΧφϦΞϦϦʔε