新卒研究員の研究開発 〜セキュアなWebサービスを目指して〜

けーすた #5 - Case Study ! Lightning Talk - @北九州
（https://casestudy.connpass.com/event/95140/）

Transcript

1. ʙηΩϡΞͳWebαʔϏεΛ໨ࢦͯ͠ʙ
   ໺ଜ޸໋ / Pepabo R&D Institute, GMO Pepabo, Inc.
   2018.08.29 ͚ʔͨ͢#5 @fabbit๺۝भ
   ৽ଔݚڀһͷݚڀ։ൃ
   

   View Slide

2. ໺ଜ ޸໋ / @Komei5296
   2
   Komei Nomura
   ݚڀ։ൃνʔϜ
   ϖύϘݚڀॴ ݚڀһ
   

   View Slide

3. • ๺۝भࢢཱେֶ ৘ใ޻ֶઐ߈ म࢜՝ఔΛଔۀ
   • େֶͰ͸ɺूੵճ࿏ͷࣗಈઃܭ΍ϚϧνϓϩηοαγεςϜͷεέδϡʔϦ
   ϯάʹֶ͍ͭͯश
   • 2017೥ʹGMOϖύϘʹ৽ଔೖࣾ
   • 2018೥ʹϖύϘݚڀॴʹ഑ଐ
   • ݱࡏ͸WebαʔϏεͷηΩϡϦςΟͷݚڀ
   3
   ུྺ
   

   View Slide

4. 1. ϖύϘݚڀॴͷϛογϣϯ
   2. WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ
   4
   ໨࣍
   

   View Slide

5. 1.
   ϖύϘݚڀॴͷϛογϣϯ
   

   View Slide

6. 6
   ϖύϘݚڀॴͷϛογϣϯ
   ΞΧσϛοΫͳਫ४ʹ͓͚Δ৽نੑɾ༗ޮੑɾ৴པੑΛ௥ٻ
   ͢ΔݚڀΛߦ͏ͱͱ΋ʹɺݚڀ։ൃٕͨ͠ज़Λ࣮ࡍͷγες
   Ϝͱ࣮ͯ͠૷ɾఏڙ͢Δ͜ͱΛ௨ͯ͠ɺࣄۀͷ੒௕ʹߩݙ
   ϖύݚʹ͍ͭͯɿIUUQTSBOEQFQBCPDPN
   

   View Slide

7. 7
   ϖύݚͷϫʔΫϑϩʔ֓ཁ
   ݚڀ ։ൃ
   αʔϏεӡ༻
   αʔϏεʹಋೖ
   ݚڀ੒ՌΛऔΓࠐΉ
   ՝୊ൃݟ
   αʔϏεͷ՝୊ղܾΛݚڀʹΑͬͯߦ͍ɺࣄۀ੒௕ʹߩݙ͢Δ
   

   View Slide

8. 2.
   WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ
   

   View Slide

9. • WebΞϓϦέʔγϣϯͷ੬ऑੑΛར༻ͨ͠߈ܸ͸ޙΛઈͨͳ͍
   • ߈ܸʹΑͬͯσʔλϕʔεͷอ༗͢Δػີ৘ใ͕࿙Ӯ͢Δඃ֐͕ൃੜ
   • ߈ܸͷྫɿSQLΠϯδΣΫγϣϯ
   • ෆਖ਼ΫΤϦ͸σʔλϕʔεͰ࣮ߦ͞ΕΔલʹݕ஌͢Δඞཁ͕͋Δ
   9
   എܠ
   8FCΞϓϦ σʔλϕʔε
   ߈ܸ
   ػີ৘ใΛ઄औ
   8FCαʔϏε
   ੬ऑੑ
   ෆਖ਼ΫΤϦൃߦ
   σʔλฦ٫
   

   View Slide

10. • WebΞϓϦ͕ൃߦ͢ΔΫΤϦͷϗϫΠτϦετΛखಈͰ࡞੒
    • ϗϫΠτϦετʹొ࿥͞Ε͍ͯͳ͍ΫΤϦΛݕ஌
    • ՝୊
    • େن໛ͳWebΞϓϦͰ͸ൃߦΫΤϦ਺͕๲େ
    • WebΞϓϦͷվमʹΑΓൃߦΫΤϦ͕มԽ
    • ϗϫΠτϦετ࡞੒ͷࣗಈԽ͕ඞཁͱͳΔ
    10
    ैདྷͷෆਖ਼ΫΤϦݕ஌ํ๏
    ӡ༻ऀ΁ͷෛ୲͕େ͖͍
    

    View Slide

11. • WebΞϓϦՔಇ࣌ʹൃߦ͞ΕΔΫΤϦΛऩूͯ͠࡞੒
    • Ϧετ࡞੒ʹ͕͔͔࣌ؒΓɺWebΞϓϦՔಇޙɺଈ࣌ʹݕ஌͕Ͱ͖ͳ͍
    • WebΞϓϦͷιʔείʔυΛղੳͯ͠࡞੒
    • WebΞϓϦͷ࣮૷ʹରԠͨ͠ղੳث͕ඞཁͱͳΓɺ൚༻తʹར༻Ͱ͖ͳ͍
    11
    ϗϫΠτϦετࣗಈ࡞੒ͱ՝୊
    

    View Slide

12. • WebΞϓϦέʔγϣϯςετΛ༻͍ͨΫΤϦͷϗϫΠτϦετࣗಈ࡞੒ख๏
    • ࣗಈςετΛ༻͍ͨ։ൃϓϩηεʹϗϫΠτϦετ࡞੒Λ૊ΈࠐΉ
    • WebΞϓϦՔಇޙɺଈ࣌ʹݕ஌Մೳ
    • σʔλϕʔεϓϩΩγʹΑΔςετ࣌ʹൃߦ͞ΕͨΫΤϦऩू
    • WebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍
    12
    ఏҊख๏
    

    View Slide

13. 13
    ࣗಈςετΛ༻͍ͨ։ൃϓϩηε
    ։ൃ
    ςετίʔυهड़
    αʔόʹ഑ஔ
    ࣗಈςετ
    /P
    :FT
    ӡ༻։࢝
    ςετ੒ޭ
    w ৽ػೳͷ௥Ճ
    w طଘػೳͷमਖ਼
    w 8FCΞϓϦͷಈ࡞खॱͱಈ࡞݁ՌΛهड़
    w ςετίʔυΛݩʹࣗಈͰςετΛ࣮ߦ
    w 8FCΞϓϦͷಈ࡞͕࢓༷௨Γ͔Λ֬ೝ
    w ςετࣦഊɿ8FCΞϓϦͷιʔείʔυ΋͘͠͸

    ɹɹɹɹɹɹςετίʔυʹ໰୊͋Γ
    w ςετ੒ޭɿ8FCΞϓϦ͕࢓༷௨Γʹಈ࡞
    w ৽͍͠8FCΞϓϦͷιʔείʔυΛαʔόʹ഑ஔ
    w ৽͍͠8FCΞϓϦͷӡ༻Λ։࢝
    

    View Slide

14. 14
    ։ൃ
    ςετίʔυهड़
    αʔόʹ഑ஔ
    ࣗಈςετ
    ʴ
    ϗϫΠτϦετ࡞੒
    /P
    :FT
    ӡ༻։࢝
    ςετ੒ޭ
    w ࣗಈςετ࣌ʹൃߦ͞ΕͨΫΤϦ͔ΒϗϫΠτϦετ
    Λࣗಈ࡞੒
    w ҎԼΛͦΕͧΕαʔόʹ഑ஔ
    w ৽͍͠8FCΞϓϦͷιʔείʔυ
    w ৽͍͠8FCΞϓϦͷΫΤϦͷϗϫΠτϦετ
    ։ൃϓϩηεʹ͓͚ΔఏҊख๏ͷҐஔ෇͚
    w ։ൃϓϩηεͷதͰϗϫΠτϦετΛ࡞੒
    w 8FCΞϓϦՔಈ࣌ʹ͸ෆਖ਼ΫΤϦΛݕ஌Ͱ͖Δঢ়ଶ
    

    View Slide

15. 15
    ఏҊख๏ͷઃܭ
    σʔλϕʔε
    σʔλϕʔεϓϩΩγ
    8FCΞϓϦ
    ϗϫΠτϦετ
    • ςετ࣌ʹ͸ൃߦ͞ΕΔΫΤϦΛσʔλϕʔεϓϩΩγͰऩूͯ͠ϗϫΠτϦε
    τΛ࡞੒ɹˠɹWebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍
    • WebΞϓϦՔಇ࣌͸σʔλϕʔεϓϩΩγͰݕ஌
    

    View Slide

16. 16
    ςετ࣌ͷϗϫΠτϦετ࡞੒ϑϩʔ
    σʔλϕʔε
    σʔλϕʔε

    ϓϩΩγ
    8FCΞϓϦ
    ϗϫΠτϦετ
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JEʁ
    ΫΤϦΛൃߦ ΫΤϦ͸ͦͷ··σʔλϕʔε΁
    ςετऴྃޙΫΤϦͷϦςϥϧΛ

    Τεέʔϓ
    ϗϫΠτϦετʹొ࿥
    ΫΤϦΛऩू
    

    View Slide

17. 17
    WebΞϓϦՔಇ࣌ͷෆਖ਼ΫΤϦݕ஌ϑϩʔ
    σʔλϕʔε
    σʔλϕʔε

    ϓϩΩγ
    8FCΞϓϦ
    ϗϫΠτϦετ
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JE
    4&-&$5'30.
    VTFST
    8)&3&JEʁ
    ΫΤϦͷϦςϥϧΛΤεέʔϓ
    ϗϫΠτϦετͱೖྗΛর߹
    ΫΤϦΛൃߦ
    ΫΤϦΛड͚औΔ
    র߹݁ՌΛฦ٫
    ෆਖ਼ͷ৔߹͸։ൃऀʹ௨஌
    

    View Slide

18. • ςετ࣌ͷϗϫΠτϦετ࡞੒͸࣮૷ࡁΈ
    • CIʹ͸Drone.ioɺσʔλϕʔεϓϩΩγʹ͸ProxySQLΛར༻
    • WebΞϓϦՔಇ࣌ͷݕ஌͸࣮૷్த
    • ࠓޙ͸࣮૷ΛਐΊͯɺෆਖ਼ΫΤϦͷݕ஌ਫ਼౓΍WebΞϓϦͱσʔλϕʔεؒͷ
    ϨΠςϯγʔͷݕূΛਐΊ͍͖͍ͯͨ
    18
    ࣮૷ͷਐḿͱࠓޙ
    

    View Slide

19. ݚڀһɺੵۃతʹืूதʂ
    http://rand.pepabo.com/
    

    View Slide