マイクロサービスでのセキュリティパッチ含めた ライブラリ更新のつらみと取り組み / security-jaws-no13-kenjiszk

Transcript

1. ϚΠΫϩαʔϏεͰͷηΩϡϦςΟύονؚΊͨ ϥΠϒϥϦߋ৽ͷͭΒΈͱऔΓ૊Έ Security JAWS ʲୈ13ճʳ 'J/$
   5FDIOPMPHJFT
   !LFOKJT[L

2. 8IP
   BN
   * w 4V[VLJ
   ,FOKJ
   UXJUUFS
   
   !LFOKJT[L
   w 'J/$
   5FDIOPMPHJFT
   w 43&
   &OHJOFFS
   w

   ϘϧμϦϯά

3. 5PEBZ`T
   5BML
   
   ϥΠϒϥϦߋ৽        #JH
   #BOH 4NBMM
   

   3FMFBTF 74

4. 4NBMM
   3FMFBTFͷํ͕ྑ͍ w ηΩϡϦςΟ؍఺͔Β
   w ੬ऑੑ͸͋Δ೔ಥવ͘Δ
   w ࠷৽ͷ਺όʔδϣϯʹ͔͠ެࣜύον͕౰ͨΒͳ͍͜ͱ΋
   w ৗʹ࠷৽ʹ௥͍ͭ͘ӡ༻Λ͍ͯ͠ͳ͍ͱಠࣗͷύονΛ౰ͯଓ͚Δ͜ͱ ʹͳΔ
   

   w ґଘ͢Δύοέʔδ΋όʔδϣϯ্͛Δඞཁ͕͋ͬͨΓ͢Δ

5. ݁࿦ w ࡉ͔͘όʔδϣϯΛ্͍͖͛ͯ·͠ΐ͏      4NBMM
   3FMFBTFT

6. ໰୊ w ϚΠΫϩαʔϏε͕ݸ͘Β͍͋Δ       

                                                                                                                                                                                        

7. ϚΠΫϩαʔϏεͩͱԿ͕ࠔΔʁ

8. ୯७ܭࢉͰճಉ͡࡞ۀΛ͢Δ

9. ͭͷઐ໳νʔϜͰ͸ରԠͰ͖ͳ͍

10. αʔϏεؒͷґଘ΋ߟ͑Δඞཁ͕͋Δ

11. ֤νʔϜͷҙࣝ΍εΩϧͷ͹Β͖ͭ

12. ͭͷ࡞ۀ΋Ε͕શମʹӨڹ͢ΔՄೳੑ

13. ϝϦοτ΋͋Δ w ن໛͕খ͍͞ͷͰҰͭҰͭͷ࡞ۀྔ͸গͳ͘ͳΔ͜ͱ͕ଟ͍
    w νʔϜؒͰ৘ใڞ༗͕Ͱ͖Δ
    w ৽͍͠ϚΠΫϩαʔϏεͰઌʹ৽͍͠όʔδϣϯΛ࢖͑Δ
    w ܥશମͱͯ͠͸ΧφϦΞͬΆ͘ͳΔ

14. ԿΛ͢΂͖͔ʁ wνʔϜؒͰ৘ใΛԣஅతʹγΣΞͭͭ͠
    wΈΜͳͰؤுΔ

15. ΍ͬͯΈͨ͜ͱ w࢓૊Έ
    wՄࢹԽ
    wࣗಈԽ
    w։ൃνʔϜͰಠཱͯ͠ରԠͰ͖ΔΑ͏ʹ
    w૊৫
    w༗ࢤͰͷ׆ಈͷࢧԉ
    wࡇΓతʹ΍Δ
    wظͷ໨ඪʹೖΕΔ

16. ՄࢹԽ w ֤ΞϓϦέʔγϣϯͷϥΠϒϥ ϦͷόʔδϣϯΛԣஅͯ͠Մࢹ Խ
    w ͲͷΞϓϦέʔγϣϯ͕όʔ δϣϯ͕௿͍··์ஔ͞Ε͍ͯ Δ͔ΛҰ໨ྎવʹ
    w

    ఆྫͰνΣοΫ

17. ࣗಈԽ w $JSDMF$*ͰϥΠϒϥϦͷΞοϓ σʔτͷ1VMM
    3FRVFTUΛࣗಈͰ ࡞Δ
    w HJUIVCϢʔβʔ͸EFQFOEBCPU ͕ແྉͰར༻ՄೳʹͳͬͨͷͰ ͦͪΒΛ࢖ͬͯ΋͍͍͔΋͠Ε ͳ͍

18. ֤νʔϜͰಠཱͯ͠ಈ͚ΔΑ͏ʹ w 04ϨΠϠʔҎ্͸%PDLFSpMFͰ؅ཧ͍ͯ͠Δ
    w ΋ͱ΋ͱ43&νʔϜ͕%PDLFSpMFΛ؅ཧ͍ͯͨ͠
    w %PDLFSpMFͷ؅ཧ΋֤։ൃνʔϜʹҠৡ
    w ֤νʔϜ͕ಠཱͯ͠04Ҏ্ͷϨΠϠʔͷΞοϓσʔτ͕Մೳʹ

19. ༗ࢤͰͷ׆ಈ w ि̍ճɺ༗ࢤͰू·ͬͯߦ͖ಧ͍͍ͯͳ͍ͱ͜ΖΛαϙʔτ͢Δ
    w %PDLFSpMF
    $*ͷઃఆ
    w ϥΠϒϥϦͷΞοϓσʔτ
    w ݴޠͷόʔδϣϯͷΞοϓσʔτ
    

    w νʔϜʹΑͬͯ͸ϦϦʔεཱ͕ͯࠐΜͰ͍ͨΓ͢Δ͜ͱ͕͋ΔͷͰɺશମ ͰαϙʔτͰ͖Δମ੍͕ग़དྷΔͱྑ͍

20. ࡇΓతʹ΍Δ

21. ظͷ໨ඪʹೖΕΔ w ηΩϡϦςΟରԠ͕੾ΕΔόʔδϣϯΛ্͛ΔΑ͏ͳΫϦςΟΧϧͳ৔߹ ʹ͸ɺνʔϜͷظͷ໨ඪʹೖΕͯ૊৫ͱͯ͠ઈରʹରԠ͢Δ

22. ͜ͷ׆ಈʹΑΔ੒Ռ΋ݟ͖͑ͯͨ w ओཁͳΞϓϦέʔγϣϯ͸I Ҏ಺ʹ΄΅ରԠ׬ྃ
    w ਺೔Ҏ಺ʹ͢΂ͯͷαʔϏεͷ ߋ৽͕׬ྃ

23. ࠓޙऔΓ૊Έ͍ͨ͜ͱ w 4-0΁ͷ૊ΈࠐΈ
    w ηΩϡϦςΟӡ༻ୡ੒౓ͷ਺஋Խ
    w ࡉ͔͘ϥΠϒϥϦΛߋ৽͠ଓ͚ΒΕ͍ͯΔνʔϜ͸ૉ੖Β͍͠
    w ϚΠΫϩαʔϏεΛ৽͘͠࡞Δ൑அ࣠ͱͯ͠ͷηΩϡϦςΟୡ੒౓
    w

    ٯʹɺҰఆϨϕϧͰୡ੒Ͱ͖͍ͯͨΒͪΐͬͱ๯ݥ͍͍ͯ͠

24. ·ͱΊ w ·ͩ·ͩ՝୊͕͋Δ
    w ׬શʹ֤νʔϜ͕ࣗ૸Ͱ͖͍ͯΔঢ়ଶ·Ͱ͸ߦ͚͍ͯͳ͍
    w ضৼΓ໾͕ඞཁ
    w $*Ͱͷࣗಈߋ৽Λ΋ͬͱਐԽͤͯ͞ɺ2"΋ؚΊͯ΋ͬͱෛ୲͕ͳ͍Α ͏ͳ࢓૊ΈΛ࡞͍͖͍ͬͯͨ
    

    w ϥΠϒϥϦߋ৽
    
    εςʔδϯάσϓϩΠ
    
    ΧφϦΞϦϦʔε