$30 off During Our Annual Pro Sale. View Details »

新卒研究員の研究開発 〜セキュアなWebサービスを目指して〜

Komei Nomura
August 29, 2018

新卒研究員の研究開発 〜セキュアなWebサービスを目指して〜

けーすた #5 - Case Study ! Lightning Talk - @北九州
https://casestudy.connpass.com/event/95140/

Komei Nomura

August 29, 2018
Tweet

More Decks by Komei Nomura

Other Decks in Research

Transcript

  1. ʙηΩϡΞͳWebαʔϏεΛ໨ࢦͯ͠ʙ
    ໺ଜ޸໋ / Pepabo R&D Institute, GMO Pepabo, Inc.
    2018.08.29 ͚ʔͨ͢#5 @fabbit๺۝भ
    ৽ଔݚڀһͷݚڀ։ൃ

    View Slide

  2. ໺ଜ ޸໋ / @Komei5296
    2
    Komei Nomura
    ݚڀ։ൃνʔϜ
    ϖύϘݚڀॴ ݚڀһ

    View Slide

  3. • ๺۝भࢢཱେֶ ৘ใ޻ֶઐ߈ म࢜՝ఔΛଔۀ
    • େֶͰ͸ɺूੵճ࿏ͷࣗಈઃܭ΍ϚϧνϓϩηοαγεςϜͷεέδϡʔϦ
    ϯάʹֶ͍ͭͯश
    • 2017೥ʹGMOϖύϘʹ৽ଔೖࣾ
    • 2018೥ʹϖύϘݚڀॴʹ഑ଐ
    • ݱࡏ͸WebαʔϏεͷηΩϡϦςΟͷݚڀ
    3
    ུྺ

    View Slide

  4. 1. ϖύϘݚڀॴͷϛογϣϯ
    2. WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ
    4
    ໨࣍

    View Slide

  5. 1.
    ϖύϘݚڀॴͷϛογϣϯ

    View Slide

  6. 6
    ϖύϘݚڀॴͷϛογϣϯ
    ΞΧσϛοΫͳਫ४ʹ͓͚Δ৽نੑɾ༗ޮੑɾ৴པੑΛ௥ٻ
    ͢ΔݚڀΛߦ͏ͱͱ΋ʹɺݚڀ։ൃٕͨ͠ज़Λ࣮ࡍͷγες
    Ϝͱ࣮ͯ͠૷ɾఏڙ͢Δ͜ͱΛ௨ͯ͠ɺࣄۀͷ੒௕ʹߩݙ
    ϖύݚʹ͍ͭͯɿIUUQTSBOEQFQBCPDPN

    View Slide

  7. 7
    ϖύݚͷϫʔΫϑϩʔ֓ཁ
    ݚڀ ։ൃ
    αʔϏεӡ༻
    αʔϏεʹಋೖ
    ݚڀ੒ՌΛऔΓࠐΉ
    ՝୊ൃݟ
    αʔϏεͷ՝୊ղܾΛݚڀʹΑͬͯߦ͍ɺࣄۀ੒௕ʹߩݙ͢Δ

    View Slide

  8. 2.
    WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ

    View Slide

  9. • WebΞϓϦέʔγϣϯͷ੬ऑੑΛར༻ͨ͠߈ܸ͸ޙΛઈͨͳ͍
    • ߈ܸʹΑͬͯσʔλϕʔεͷอ༗͢Δػີ৘ใ͕࿙Ӯ͢Δඃ֐͕ൃੜ
    • ߈ܸͷྫɿSQLΠϯδΣΫγϣϯ
    • ෆਖ਼ΫΤϦ͸σʔλϕʔεͰ࣮ߦ͞ΕΔલʹݕ஌͢Δඞཁ͕͋Δ
    9
    എܠ
    8FCΞϓϦ σʔλϕʔε
    ߈ܸ
    ػີ৘ใΛ઄औ
    8FCαʔϏε
    ੬ऑੑ
    ෆਖ਼ΫΤϦൃߦ
    σʔλฦ٫

    View Slide

  10. • WebΞϓϦ͕ൃߦ͢ΔΫΤϦͷϗϫΠτϦετΛखಈͰ࡞੒
    • ϗϫΠτϦετʹొ࿥͞Ε͍ͯͳ͍ΫΤϦΛݕ஌
    • ՝୊
    • େن໛ͳWebΞϓϦͰ͸ൃߦΫΤϦ਺͕๲େ
    • WebΞϓϦͷվमʹΑΓൃߦΫΤϦ͕มԽ
    • ϗϫΠτϦετ࡞੒ͷࣗಈԽ͕ඞཁͱͳΔ
    10
    ैདྷͷෆਖ਼ΫΤϦݕ஌ํ๏
    ӡ༻ऀ΁ͷෛ୲͕େ͖͍

    View Slide

  11. • WebΞϓϦՔಇ࣌ʹൃߦ͞ΕΔΫΤϦΛऩूͯ͠࡞੒
    • Ϧετ࡞੒ʹ͕͔͔࣌ؒΓɺWebΞϓϦՔಇޙɺଈ࣌ʹݕ஌͕Ͱ͖ͳ͍
    • WebΞϓϦͷιʔείʔυΛղੳͯ͠࡞੒
    • WebΞϓϦͷ࣮૷ʹରԠͨ͠ղੳث͕ඞཁͱͳΓɺ൚༻తʹར༻Ͱ͖ͳ͍
    11
    ϗϫΠτϦετࣗಈ࡞੒ͱ՝୊

    View Slide

  12. • WebΞϓϦέʔγϣϯςετΛ༻͍ͨΫΤϦͷϗϫΠτϦετࣗಈ࡞੒ख๏
    • ࣗಈςετΛ༻͍ͨ։ൃϓϩηεʹϗϫΠτϦετ࡞੒Λ૊ΈࠐΉ
    • WebΞϓϦՔಇޙɺଈ࣌ʹݕ஌Մೳ
    • σʔλϕʔεϓϩΩγʹΑΔςετ࣌ʹൃߦ͞ΕͨΫΤϦऩू
    • WebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍
    12
    ఏҊख๏

    View Slide

  13. 13
    ࣗಈςετΛ༻͍ͨ։ൃϓϩηε
    ։ൃ
    ςετίʔυهड़
    αʔόʹ഑ஔ
    ࣗಈςετ
    /P
    :FT
    ӡ༻։࢝
    ςετ੒ޭ
    w ৽ػೳͷ௥Ճ
    w طଘػೳͷमਖ਼
    w 8FCΞϓϦͷಈ࡞खॱͱಈ࡞݁ՌΛهड़
    w ςετίʔυΛݩʹࣗಈͰςετΛ࣮ߦ
    w 8FCΞϓϦͷಈ࡞͕࢓༷௨Γ͔Λ֬ೝ
    w ςετࣦഊɿ8FCΞϓϦͷιʔείʔυ΋͘͠͸

    ɹɹɹɹɹɹςετίʔυʹ໰୊͋Γ
    w ςετ੒ޭɿ8FCΞϓϦ͕࢓༷௨Γʹಈ࡞
    w ৽͍͠8FCΞϓϦͷιʔείʔυΛαʔόʹ഑ஔ
    w ৽͍͠8FCΞϓϦͷӡ༻Λ։࢝

    View Slide

  14. 14
    ։ൃ
    ςετίʔυهड़
    αʔόʹ഑ஔ
    ࣗಈςετ
    ʴ
    ϗϫΠτϦετ࡞੒
    /P
    :FT
    ӡ༻։࢝
    ςετ੒ޭ
    w ࣗಈςετ࣌ʹൃߦ͞ΕͨΫΤϦ͔ΒϗϫΠτϦετ
    Λࣗಈ࡞੒
    w ҎԼΛͦΕͧΕαʔόʹ഑ஔ
    w ৽͍͠8FCΞϓϦͷιʔείʔυ
    w ৽͍͠8FCΞϓϦͷΫΤϦͷϗϫΠτϦετ
    ։ൃϓϩηεʹ͓͚ΔఏҊख๏ͷҐஔ෇͚
    w ։ൃϓϩηεͷதͰϗϫΠτϦετΛ࡞੒
    w 8FCΞϓϦՔಈ࣌ʹ͸ෆਖ਼ΫΤϦΛݕ஌Ͱ͖Δঢ়ଶ

    View Slide

  15. 15
    ఏҊख๏ͷઃܭ
    σʔλϕʔε
    σʔλϕʔεϓϩΩγ
    8FCΞϓϦ
    ϗϫΠτϦετ
    • ςετ࣌ʹ͸ൃߦ͞ΕΔΫΤϦΛσʔλϕʔεϓϩΩγͰऩूͯ͠ϗϫΠτϦε
    τΛ࡞੒ɹˠɹWebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍
    • WebΞϓϦՔಇ࣌͸σʔλϕʔεϓϩΩγͰݕ஌

    View Slide

  16. 16
    ςετ࣌ͷϗϫΠτϦετ࡞੒ϑϩʔ
    σʔλϕʔε
    σʔλϕʔε

    ϓϩΩγ
    8FCΞϓϦ
    ϗϫΠτϦετ
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JEʁ
    ΫΤϦΛൃߦ ΫΤϦ͸ͦͷ··σʔλϕʔε΁
    ςετऴྃޙΫΤϦͷϦςϥϧΛ

    Τεέʔϓ
    ϗϫΠτϦετʹొ࿥
    ΫΤϦΛऩू

    View Slide

  17. 17
    WebΞϓϦՔಇ࣌ͷෆਖ਼ΫΤϦݕ஌ϑϩʔ
    σʔλϕʔε
    σʔλϕʔε

    ϓϩΩγ
    8FCΞϓϦ
    ϗϫΠτϦετ
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JEʁ
    ΫΤϦͷϦςϥϧΛΤεέʔϓ
    ϗϫΠτϦετͱೖྗΛর߹
    ΫΤϦΛൃߦ
    ΫΤϦΛड͚औΔ
    র߹݁ՌΛฦ٫
    ෆਖ਼ͷ৔߹͸։ൃऀʹ௨஌

    View Slide

  18. • ςετ࣌ͷϗϫΠτϦετ࡞੒͸࣮૷ࡁΈ
    • CIʹ͸Drone.ioɺσʔλϕʔεϓϩΩγʹ͸ProxySQLΛར༻
    • WebΞϓϦՔಇ࣌ͷݕ஌͸࣮૷్த
    • ࠓޙ͸࣮૷ΛਐΊͯɺෆਖ਼ΫΤϦͷݕ஌ਫ਼౓΍WebΞϓϦͱσʔλϕʔεؒͷ
    ϨΠςϯγʔͷݕূΛਐΊ͍͖͍ͯͨ
    18
    ࣮૷ͷਐḿͱࠓޙ

    View Slide

  19. ݚڀһɺੵۃతʹืूதʂ
    http://rand.pepabo.com/

    View Slide