マイクロサービスでのセキュリティパッチ含めた ライブラリ更新のつらみと取り組み / security-jaws-no13-kenjiszk

マイクロサービスでのセキュリティパッチ含めた ライブラリ更新のつらみと取り組み / security-jaws-no13-kenjiszk

Security JAWS 【第13回】 勉強会 での登壇資料
https://s-jaws.doorkeeper.jp/events/91099

Ba0cce2241a7133aec62afc8ed15a172?s=128

Kenji Suzuki

May 24, 2019
Tweet

Transcript

  1. ϚΠΫϩαʔϏεͰͷηΩϡϦςΟύονؚΊͨ ϥΠϒϥϦߋ৽ͷͭΒΈͱऔΓ૊Έ Security JAWS ʲୈ13ճʳ 'J/$5FDIOPMPHJFT !LFOKJT[L

  2. 8IPBN* w 4V[VLJ,FOKJ UXJUUFS!LFOKJT[L  w 'J/$5FDIOPMPHJFT w 43&&OHJOFFS w

    ϘϧμϦϯά
  3. 5PEBZ`T5BMLϥΠϒϥϦߋ৽        #JH#BOH 4NBMM

    3FMFBTF 74
  4. 4NBMM3FMFBTFͷํ͕ྑ͍ w ηΩϡϦςΟ؍఺͔Β w ੬ऑੑ͸͋Δ೔ಥવ͘Δ w ࠷৽ͷ਺όʔδϣϯʹ͔͠ެࣜύον͕౰ͨΒͳ͍͜ͱ΋ w ৗʹ࠷৽ʹ௥͍ͭ͘ӡ༻Λ͍ͯ͠ͳ͍ͱಠࣗͷύονΛ౰ͯଓ͚Δ͜ͱ ʹͳΔ

    w ґଘ͢Δύοέʔδ΋όʔδϣϯ্͛Δඞཁ͕͋ͬͨΓ͢Δ
  5. ݁࿦ w ࡉ͔͘όʔδϣϯΛ্͍͖͛ͯ·͠ΐ͏      4NBMM 3FMFBTFT

  6. ໰୊ w ϚΠΫϩαʔϏε͕ݸ͘Β͍͋Δ       

                                                                                                                                                                                         
  7. ϚΠΫϩαʔϏεͩͱԿ͕ࠔΔʁ

  8. ୯७ܭࢉͰճಉ͡࡞ۀΛ͢Δ

  9. ͭͷઐ໳νʔϜͰ͸ରԠͰ͖ͳ͍

  10. αʔϏεؒͷґଘ΋ߟ͑Δඞཁ͕͋Δ

  11. ֤νʔϜͷҙࣝ΍εΩϧͷ͹Β͖ͭ

  12. ͭͷ࡞ۀ΋Ε͕શମʹӨڹ͢ΔՄೳੑ

  13. ϝϦοτ΋͋Δ w ن໛͕খ͍͞ͷͰҰͭҰͭͷ࡞ۀྔ͸গͳ͘ͳΔ͜ͱ͕ଟ͍ w νʔϜؒͰ৘ใڞ༗͕Ͱ͖Δ w ৽͍͠ϚΠΫϩαʔϏεͰઌʹ৽͍͠όʔδϣϯΛ࢖͑Δ w ܥશମͱͯ͠͸ΧφϦΞͬΆ͘ͳΔ

  14. ԿΛ͢΂͖͔ʁ wνʔϜؒͰ৘ใΛԣஅతʹγΣΞͭͭ͠ wΈΜͳͰؤுΔ

  15. ΍ͬͯΈͨ͜ͱ w࢓૊Έ wՄࢹԽ wࣗಈԽ w։ൃνʔϜͰಠཱͯ͠ରԠͰ͖ΔΑ͏ʹ w૊৫ w༗ࢤͰͷ׆ಈͷࢧԉ wࡇΓతʹ΍Δ wظͷ໨ඪʹೖΕΔ

  16. ՄࢹԽ w ֤ΞϓϦέʔγϣϯͷϥΠϒϥ ϦͷόʔδϣϯΛԣஅͯ͠Մࢹ Խ w ͲͷΞϓϦέʔγϣϯ͕όʔ δϣϯ͕௿͍··์ஔ͞Ε͍ͯ Δ͔ΛҰ໨ྎવʹ w

    ఆྫͰνΣοΫ
  17. ࣗಈԽ w $JSDMF$*ͰϥΠϒϥϦͷΞοϓ σʔτͷ1VMM3FRVFTUΛࣗಈͰ ࡞Δ w HJUIVCϢʔβʔ͸EFQFOEBCPU ͕ແྉͰར༻ՄೳʹͳͬͨͷͰ ͦͪΒΛ࢖ͬͯ΋͍͍͔΋͠Ε ͳ͍

  18. ֤νʔϜͰಠཱͯ͠ಈ͚ΔΑ͏ʹ w 04ϨΠϠʔҎ্͸%PDLFSpMFͰ؅ཧ͍ͯ͠Δ w ΋ͱ΋ͱ43&νʔϜ͕%PDLFSpMFΛ؅ཧ͍ͯͨ͠ w %PDLFSpMFͷ؅ཧ΋֤։ൃνʔϜʹҠৡ w ֤νʔϜ͕ಠཱͯ͠04Ҏ্ͷϨΠϠʔͷΞοϓσʔτ͕Մೳʹ

  19. ༗ࢤͰͷ׆ಈ w ि̍ճɺ༗ࢤͰू·ͬͯߦ͖ಧ͍͍ͯͳ͍ͱ͜ΖΛαϙʔτ͢Δ w %PDLFSpMF $*ͷઃఆ w ϥΠϒϥϦͷΞοϓσʔτ w ݴޠͷόʔδϣϯͷΞοϓσʔτ

    w νʔϜʹΑͬͯ͸ϦϦʔεཱ͕ͯࠐΜͰ͍ͨΓ͢Δ͜ͱ͕͋ΔͷͰɺશମ ͰαϙʔτͰ͖Δମ੍͕ग़དྷΔͱྑ͍
  20. ࡇΓతʹ΍Δ

  21. ظͷ໨ඪʹೖΕΔ w ηΩϡϦςΟରԠ͕੾ΕΔόʔδϣϯΛ্͛ΔΑ͏ͳΫϦςΟΧϧͳ৔߹ ʹ͸ɺνʔϜͷظͷ໨ඪʹೖΕͯ૊৫ͱͯ͠ઈରʹରԠ͢Δ

  22. ͜ͷ׆ಈʹΑΔ੒Ռ΋ݟ͖͑ͯͨ w ओཁͳΞϓϦέʔγϣϯ͸I Ҏ಺ʹ΄΅ରԠ׬ྃ w ਺೔Ҏ಺ʹ͢΂ͯͷαʔϏεͷ ߋ৽͕׬ྃ

  23. ࠓޙऔΓ૊Έ͍ͨ͜ͱ w 4-0΁ͷ૊ΈࠐΈ w ηΩϡϦςΟӡ༻ୡ੒౓ͷ਺஋Խ w ࡉ͔͘ϥΠϒϥϦΛߋ৽͠ଓ͚ΒΕ͍ͯΔνʔϜ͸ૉ੖Β͍͠ w ϚΠΫϩαʔϏεΛ৽͘͠࡞Δ൑அ࣠ͱͯ͠ͷηΩϡϦςΟୡ੒౓ w

    ٯʹɺҰఆϨϕϧͰୡ੒Ͱ͖͍ͯͨΒͪΐͬͱ๯ݥ͍͍ͯ͠
  24. ·ͱΊ w ·ͩ·ͩ՝୊͕͋Δ w ׬શʹ֤νʔϜ͕ࣗ૸Ͱ͖͍ͯΔঢ়ଶ·Ͱ͸ߦ͚͍ͯͳ͍ w ضৼΓ໾͕ඞཁ w $*Ͱͷࣗಈߋ৽Λ΋ͬͱਐԽͤͯ͞ɺ2"΋ؚΊͯ΋ͬͱෛ୲͕ͳ͍Α ͏ͳ࢓૊ΈΛ࡞͍͖͍ͬͯͨ

    w ϥΠϒϥϦߋ৽εςʔδϯάσϓϩΠΧφϦΞϦϦʔε