SREを以てセキュリティエンジニアリングを制す / SRE, Security Engineering, and You

SRE NEXT 2023 のスポンサーセッション (20min) で使用したスライドです。

---

概要:
システムやソフトウェアの信頼性（Reliability）とセキュリティは多くの共通項を持つ概念です。本セッションでは、信頼性に主な関心を置いた技術体系であるSREを、セキュリティリスクの健全な管理のための技術体系として活用する方法を考察します。具体的にはSLO/SLI/エラーバジェット的発想に基づくセキュリティリスク管理や、セキュリティに関するソフトウェアエンジニアリング技法について、具体的な事例も交えながら論じます。

セキュリティ領域は技芸（Art）的解決が必要な課題領域も未だ多く、Engineering的体系は進化の途上にあります。SREというプラクティスを土台としてセキュリティ課題の解決を検討することは、SREに慣れ親しんだ（あるいは興味を持った）技術者の集まる本カンファレンスにおいては、セキュリティ領域への最も良い入り口になるのではないでしょうか。本セッションが、`class DevOps` の実装から一歩進んだ `class DevSecOps` を、あなたの組織で実装する際の一助となれば幸いです。

Transcript

1. SREを以てセキュリティエンジニアリングを制す
   ― class Dev"Sec"Opsの実装に向けて ―
   株式会社Flatt Security 米内 貴志 (@lmt_swallow)
   

   View Slide

2. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   aYVXWTU`
   feYbdY€YƒwvutyrpYsThTxX`
   ˜ mnTjjYˆh‘—f`jdY”iYts–
   ˜ ™’Ye‰™‡†…„
   

   View Slide

3. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   aYVXWTU`
   s nl˜vmqzp}}mtkj–ih}™msg”‘u—e„‰ˆ†€…wr
   s |‡mmftvƒwmmo{u‰‚yqpr•“i’h
   s gfsmd}}eyxxxdzp}}b}kjdmwc
   

   View Slide

4. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   WUTV
   ‰ ‡…€yviƒˆpt†shu„gedqcx‚b
   ‰ `Y€garwdXf
   fe–™—d“’˜”•‘d“
   kjihg
   l
   m
   

   View Slide

5. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   grhfsafhfebdpdcr`XWfebdVYTiUq
   i s•quep–qejmqkVf™T—gtl˜w”
   i yr’dndcr`dnd‰ˆdd‡…„†zƒ‚
   i d€‘yqvd€xmvdvxu
   i ttt
   ~||}d
   

   View Slide

6. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   WVUT
   t€wydrywyixhThe€vucyixhsbaYh`UUXpg
   je€vucyixh’€‘€wh”‰yvdiˆc†˜rh€viy‘€–hs‚
   {zwuvrysVpontmlnxkt
   

   View Slide

7. ÉÈÇÇÆÅÄÄÃÂÇÇÁÇÀÈ
   @(À76Ç)À'À%#!0ÂÇ6Ä"9ÀÇ'À$321
   

   View Slide

8. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   xwuXqWytphagftesdfcb`vYUriTV
   

   View Slide

9. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
   HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
   x€`vsh`pywuitguedqraYbfXWVUTc
   ˜ˆh™d…”ˆ–“ˆgf‘
   ‰‡†„ƒ†‚ˆ—•e’
   i
   ˜ —ˆ”‘Š{…ƒ„}“|}z’†
   y~‚…Œ–wdu‘{…t†
   u‘py€•‰†h™m‚r
   ˜ h™ln
   zekjˆ‚
   ¨§†£ƒ–“Šœ¡
   ¦¥Ÿ¢l
   

   View Slide

10. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    tqpgcepsbdh`YWViUarTVfXV
    ‡“’‰‘ˆ†…„•ƒ‚”
    €yxw“ˆu‘v
    –
    ‰ †„junz“xpˆtrqx
    w€…ki|‰sy€gƒf‡
    ‰ jed“˜{}r
    ywy™—y
    Ž”‘“w€
    g’Šg
    

    View Slide

11. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    yxaVtiadrevfpcwb`YXsWUheTqugc
    hd˜eƒehd—˜e”“f‚™’
    –‡‘‰ˆ†…g„•€
    i
    œ ™˜’Žz‘ŽŒ‡”v‰›Š–
    ‘”ˆ”‰›…„ƒ”ŽŒ‡t~
    …—}|“|x•wurƒ†š
    œ qn€“eomlyomke„‚“j”
    ƒ†›
    ˆ}
    ¨¦€”¤¢› Ÿž
    

    View Slide

12. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    r‚yxwXusv`‚p‚gvectXybuYwhda€‚yuXp‚fvqWVUiT
    –‰“•‡†…„q’‘ƒˆg™ˆqWVU
    rlpngk‡hoƒˆg™ˆqWVU
    }h~z|yxw|y{zu†ts†„‚h†…
    

    View Slide

13. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    r‚yxwXusv`‚p‚gvectXybuYwhda€‚yuXp‚fvqWVUiT
    –‰“•‡†…„q’‘ƒˆg™ˆqWVU
    rlpngk‡hoƒˆg™ˆqWVU
    }h~z|yxw|y{zu†ts†„‚h†…
    

    View Slide

14. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    rchdqa`YWpgfVbXUbpeiT
    ”‡’—–•vy‘pˆh„–•‚ˆxp€wu
    …p‰ƒ„ThtsT
    Œw—Š‘v•”’Ždœ‹`…™‚
    Œ—Šy‘pu‡r›ƒˆ‚‰on†vo˜‚
    Œq—Šy•ƒˆj•ˆx}lškT{ih‚
    Œg—ŠX‚f ed”’„—“˜yk
    ¦•¡¥¤•…pžTv
    

    View Slide

15. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    rchdqa`YWpgfVbXUbpeiT
    ”‡’—–•vy‘pˆh„–•‚ˆxp€wu
    …p‰ƒ„ThtsT
    Œw—Š‘v•”’Ždœ‹`…™‚
    Œ—Šy‘pu‡r›ƒˆ‚‰on†vo˜‚
    Œq—Šy•ƒˆj•ˆx}lškT{ih‚
    Œg—ŠX‚f ed”’„—“˜yk
    ¦•¡¥¤•…pžTv
    ²‰’°¯f¨oª’­v§
    öüÙwvìiœ‹`‰on¿åâpæšfy‘wÚØiUbpŽvÕ
    ÓÑÏÎÓÑËÞvØie”ódÜÅÃÉõplšÁwu
    Þß×ø¾ø½èÍÞ¼Ìï×ÞûԻ׺ï¹Þ¸ß¼ûñÞplš’‡„T•ví³úãÐ
    

    View Slide

16. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    r‚yxwXusv`‚p‚gvectXybuYwhda€‚yuXp‚fvqWVUiT
    –‰“•‡†…„q’‘ƒˆg™ˆqWVU
    rlpngk‡hoƒˆg™ˆqWVU
    }h~z|yxw|y{zu†ts†„‚h†…
    

    View Slide

17. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    `ecgfdaYhibfXbWUVT
    rtvsvqpu
    ‡ ƒ7~}{xuvIi˜tq5p
    l’n“rmkh#e™–”
    ‡ sg—x‰ˆ†7…3…d„j
    y#‚w“zx€•yƒ€#xw–‘
    ‡v…„
    ‡ 4¹¸»º©¯¢²Iµ™“q5p
    ¦“°p«¸¥©»kh–”
    ‡ ‰ˆ†7…3¡™–p…d„j
    y#‚w“•yƒ€7®3‰ˆ¦–‘
    ¾À¿vÁ¼
    ‡ uvâä#ÚáԂÓØã×Ñuv
    Ð#ÏÎ×̘p¦#jy‚È
    ‡ Åß×ėxÕÞ#Âقw
    çæå
    ‡ û#÷#üôxjy‚È
    ‡ Åß×ìëÕÞ#Âقw
    Infæ
    ‡ ¡™z固x環境I目指3上で参考7
    xプラ»&6²„ツ©ル#提示
    `ec定義の例
    

    View Slide

18. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    r‚yxwXusv`‚p‚gvectXybuYwhda€‚yuXp‚fvqWVUiT
    –‰“•‡†…„q’‘ƒˆg™ˆqWVU
    rlpngk‡hoƒˆg™ˆqWVU
    }h~z|yxw|y{zu†ts†„‚h†…
    

    View Slide

19. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    cpqeb`XYi`XfbaWVTUhdqWg
    tvxuxsrw
    ‰ …7€}zwxIkdvs5r
    ƒn”p•tomj#ge˜–
    ‰ ui™z’‘ˆ7‡3ƒ‡f†l
    {#„y•|ƒz‚—…‚#€y˜“
    ‰x‡†
    ‰ 4»º½¼«±¤´I·e•s5r
    ƒ¨•²r­º§«½mj˜–
    ‰ ’‘ˆ7‡3ƒ£e˜r‡f†l
    {#„y•—…‚7°3ƒ‹Š¨˜“
    ÀÂÁxþ
    ‰ wxäæ#ÜãքÕÚåÙÓwx
    Ò#ÑÐÙÎdr¨#l{„Ê
    ‰ ÇáÙƙz×à#Äۄy
    Xèç
    ‰ ý#ù#þözl{„Ê
    ‰ ÇáÙîí×à#Äۄy
    YÁÀè
    ‰ £e|4z0I&3"% 27
    zƒ½&6´†Ç«Æ#Ä
    wuV„9UsYaxfTdaRc`itCD@WhA‚egQp
    ePfITXHGaWEBivbHGqURgrV€y7UVTqWg
    g‰Tˆr…
    

    View Slide

20. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    cpqeb`XYi`XfbaWVTUhdqWg
    tvxuxsrw
    ‰ …7€}zwxIkdvs5r
    ƒn”p•tomj#ge˜–
    ‰ ui™z’‘ˆ7‡3ƒ‡f†l
    {#„y•|ƒz‚—…‚#€y˜“
    ‰x‡†
    ‰ 4»º½¼«±¤´I·e•s5r
    ƒ¨•²r­º§«½mj˜–
    ‰ ’‘ˆ7‡3ƒ£e˜r‡f†l
    {#„y•—…‚7°3ƒ‹Š¨˜“
    ÀÂÁxþ
    ‰ wxäæ#ÜãքÕÚåÙÓwx
    Ò#ÑÐÙÎdr¨#l{„Ê
    ‰ ÇáÙƙz×à#Äۄy
    Xèç
    ‰ ý#ù#þözl{„Ê
    ‰ ÇáÙîí×à#Äۄy
    YÁÀè
    ‰ £e|4z0I&3"% 27
    zƒ½&6´†Ç«Æ#Ä
    €ThRxYprvfWd`xwWVyUUbtqTWgQ
    PiIWHsUXVFDECAq98aBpux765G
    ‡v…T„P
    

    View Slide

21. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    cpqeb`XYi`XfbaWVTUhdqWg
    tvxuxsrw
    ‰ …7€}zwxIkdvs5r
    ƒn”p•tomj#ge˜–
    ‰ ui™z’‘ˆ7‡3ƒ‡f†l
    {#„y•|ƒz‚—…‚#€y˜“
    ‰x‡†
    ‰ 4»º½¼«±¤´I·e•s5r
    ƒ¨•²r­º§«½mj˜–
    ‰ ’‘ˆ7‡3ƒ£e˜r‡f†l
    {#„y•—…‚7°3ƒ‹Š¨˜“
    ÀÂÁxþ
    ‰ wxäæ#ÜãքÕÚåÙÓwx
    Ò#ÑÐÙÎdr¨#l{„Ê
    ‰ ÇáÙƙz×à#Äۄy
    Xèç
    ‰ ý#ù#þözl{„Ê
    ‰ ÇáÙîí×à#Äۄy
    YÁÀè
    ‰ £e|4z0I&3"% 27
    zƒ½&6´†Ç«Æ#Ä
    A@9T865
    ˆdƒ@€weWgƒq†v‚Ug€`faƒu`cep
    rbb…btxWV6„SURqI6HXFEDhgUPGCe
    

    View Slide

22. ÉÈÇÇÆÅÄÄÃÂÇÇÁÇÀÈ
    $8534)60('
    %#$"! 72"&1
    

    View Slide

23. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    uhsxwvW`rtigewvciYbtaXV
    ftpdeqgUTq
    yd„w~™‚z{ƒ‰xir†on
    y}„w`rt˜h•ˆpucv’‘s™’…bon
    y”„w`vpu‡viYj‰‡ˆqh†…on
    y„„w|oƒ ‚qx€y`ˆl
    “vŽ’‘vft‹qW
    

    View Slide

24. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    uhsxwvW`rtigewvciYbtaXV
    ftpdeqgUTq
    yd„w~™‚z{ƒ‰xir†on
    y}„w`rt˜h•ˆpucv’‘s™’…bon
    y”„w`vpu‡viYj‰‡ˆqh†…on
    y„„w|oƒ ‚qx€y`ˆl
    “vŽ’‘vft‹qW
    

    View Slide

25. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    –uk”etih—f˜jp•€‰m†…
    –dk”„xvsrpo‡’h“gftgl‘†…
    –ik”„e‡’beq‚dncwya`†…
    –Yk”™†X WVhfˆUgT„cƒ
    zeuyxesvrwt
    ¢›Ÿ’€œežšv–wŽŒ™†ƒŠ
    t‡‰‘…X„xf€~™gher{
    

    View Slide

26. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    cwrywsqYusihqxywrywsahfb`eWgqVpXdqtvUT
    

    View Slide

27. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    …€sƒ€tqawtievqud…b‚ttYwXqawtieqgxWfVr`„pUcqa…yhT
    ~m˜xctnlrqu}iWgev
    {™–•“ss™zkjy‘dsf™c—”’‰|ˆpw‡†
    

    View Slide

28. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    „ix`iywu‚ytswr€qpƒafdcƒgvb€XWV€eUhTY
    €XWV€eU˜h’j‘ƒˆ
    ‡q™g“–†e…
    

    View Slide

29. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    g€wƒ€xvtyxsrcvi‚hadb`XYVbeWuhfqpUT
    ”˜dfp•“bˆ‡–‘†…
    —„‰™
    

    View Slide

30. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    fitaubpgwevcXdqVUs`YWrTha
    €‚„„yxƒ
    • ‹7†…ƒ€}~Iqj‡|y5x
    ‰tdvezusp#mkhf
    • {oi€˜—–”7“3‰“l’r
    #e‚‰€ˆg‡‘ˆ#†…h™
    „Œ
    • 4ÁÀñ·ªºI½k›y5x
    ‰®e¸x³À­•±Ãsphf
    • ˜—–”7“3‰©kžx“l’r
    #eg‡‘ˆ7¶3‰‘®h™
    ÆÈDŽÉÄ
    • }~êì#âéܐÛàëßÙ}~
    Ø#×ÖßÔjx®#rÐ
    • ÍçßÌi€Ýæ#Êá
    ïîí
    •
    そ#
    他#
    様々€rÐ
    • Íçß
    便利Ýæ#Êá
    Infî
    • ©k‚
    固€
    環境I
    目指3
    上で参考7
    €‰
    プラÃ&6º’
    ツ±
    ル#
    提示
    重大さ
    e
    義の例
    「検査Us`
    のYWV
    、自組織のXdq
    判e
    の
    ロジックを合わせc
    いr
    、合わない…… 」
    結果Vv
    てXdq
    別の目標を持V
    うVv
    ても、計測r
    困難になa
    こVr
    

    View Slide

31. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    f…w†…xcq€xtsycƒprvg„ihdeb‚aYuXWVrvT`U
    ƒprvxyxw{eqjgfgp˜l„ihd™k
    —u–•d”“€o’d‘huwd‰tzˆt‡
    ”•d’l–lŒ‹Š‰ˆ‡‘g`…„ƒU
    ¯ª«•zz€¨¯¦™¡¥o§z­£›¢«“¥¦š¨˜z«¯¨«¯o¢¥£o¦œ¢§› ›€“œ¢—ošŸ­£o—«
    

    View Slide

32. ÉÈÇÇÆÅÄÄÃÂÇÇÁÇÀÈ
    
    

    View Slide

33. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    WUTV
    ‰ ‡…€yviƒˆpt†shu„gedqcx‚b
    ‰ `Y€garwdXf
    fe–™—d“’˜”•‘d“
    kjihg
    ‰ f‡¤‚f‡‹™z” ª‰ “™‘…ˆ†ž
    ‘¢¡§x‚b
    ‰ e€œ„–œ|{™—™f€~wv|{™’}x•srqp€‚n
    ©›¥d“mŸ•užu£lŽ
    ›³Ÿ¶
    •”°µ®´n©
    ¸
    ¹
    

    View Slide

34. ÆÈÉÉÅÇÄÃÉÉÂÉÁÀ
    HFBIC5A@S9&610'2490PIG3)À$ÃÇÇ8Á QHÁÀQÅÇ#(7"5
    db`bYa YXaVcXWaT`U
    yYYi`srr`yb`yXgwvqrufa
    

    View Slide

35. ぜひこの辺語り合いましょう！
    @lmt_swallow
    

    View Slide