脆弱性診断を内製化してわかったこと

2019.04.10 脆弱性診断を内製化してわかったこと総関西サイバーセキュリティＬＴ大会（第14回）松田康司

1 自己紹介 • 松田康司（まうだこうじ） • 本業 • 神戸のSIerで主にWEBアプリケーション開発のPMを
やってます。 • 自社の全ての開発案件でシフトレフトを推進するプロジェクトをしてます

2 今日の話システム開発会社が、出荷前の脆弱性診断を内製化したらわかったこと

3 脆弱性診断って • システムの脆弱性を見つける検査 • 攻撃者の視点から様々な疑似攻撃を仕掛ける • 攻撃をするためには専門的な知識が必要 • 今日の話の中では、ウェブアプリケーションに対する
ブラックボックス型 Attack

4 なぜ、内製化したのか？・・・割愛します。すごく長くなるので

5 内製化してわかったこと

6 内製化してわかったこと（１）同じ診断結果が多い。修正に時間かかるやつも・・・＜多かったもの＞ • クロスサイトスクリプティングの脆弱性 • HTTPレスポンスヘッダの設定不備 • 登録可能なパスワードの文字数が短い
・・・

7 内製化してわかったこと（２）開発者に説明したら、実はその脆弱性知らんかったクロスサイトスクリプティングが・・・？？？

8 内製化してわかったこと（３）見つけられないこともある Attack パスワードが暗号化されているか？ログが出力されているか？予防ではなく、検知の仕組みはあるか？
脆弱性とは言えないが、重要な機能権限ごとのアクセス制御ができているか？

9 内製化してわかったこと（４）勉強すれば、できるようになる UP 本、OWASP BWA、Juice Shopなどのやられサイトなど、勉強の方法は多い身近にプロフェッショナルがいたことも大きい

10 内製化してわかったことまとめ勉強すれば、できるようになる見つけられないこともある開発者に説明したら、実はその脆弱性知らんかった同じ診断結果が多い。修正に時間かかるやつも・・・

11 内製化してできたこと

12 内製化してできたこと（１）脆弱性診断結果から生産技術へのFB 共通フレームワーク開発者（生産技術）案件開発者脆弱性診断 ①フレームワーク実装 ②利用 ③納品前診断
④結果FB よくあるものはここで対策

13 内製化してできたこと（２）定期的な教育 OWASP TOP10とは・・対策方法は・・再現方法は・・どう実装するか・・
定期的な勉強会の開催と教育コンテンツの作成

14 内製化してできたこと（３）リリース後や開発期間中などの気軽な診断追加開発したんだけど、診断しといてええよ～～特にアジャイル開発においては、絶大な効果がある！！

15 内製化してできたことまとめ診断の内製化がシフトレフトの始まりでした

16 最近の悩み継続的な学習が・・・

KoujiMatsuda