Upgrade to Pro — share decks privately, control downloads, hide ads and more …

脆弱性とこれからの話 ソフトウェアサプライチェインリスク

脆弱性とこれからの話 ソフトウェアサプライチェインリスク

Speaker 岡田良太郎

update: 2024.2.7 サプライチェインリスクケースを追記
update: 2024.2.5 SCAによる対応手法についての提案を追加
release: 2024.2.3 塩尻サイバーセキュリティ勉強会

Riotaro OKADA

February 03, 2024
Tweet

More Decks by Riotaro OKADA

Other Decks in Technology

Transcript

  1. ΞελϦεΫɾϦαʔν اۀʹ͓͚ΔηΩϡϦςΟ࣮ફࢧԉاۀ BTUFSJTLSFTFBSDIDPN 2024/2 Professional Tools 実践段階のQCDを⾼める道具 ・開発環境向けツール(CI/CD) ・トレーニングデザイン ・リスクプロファイルト

    ・脅威分析トレーニング ・SAST/SCA/IaC/API Advisory Service 経営陣の⾼速な意思決定を実現するアドバイザリ ・PSIRT/CSIRT Advisory ・DevOps Transformation ・セキュリティ・スコアカード分析 ・エグゼクティブ向けブリーフィング ・CISO, CTO, CROハンズオン Security Test Managed Service セキュリティ脆弱性発⾒から改善に効くサービス ・設計の脅威対応分析 Threat Analysis ・コンポーネント分析 SCA ・ソースコード分析 SAST ・システム脆弱性テスト DAST ・プラットフォームテスト NST
  2. OWASP.org Open Worldwide Application Security Project • AppSec (アプリケーションセ キュリティ)にフォーカス

    ここ数年で - • コミュニケーションはメーリ ングリストからSlackに変更 • 活動はSlackとGithubに • AppSecコンファレンスは 都市開催 + オンライン 2024/2
  3. OWASP Japan • https://github.com/owasp-ja • OWASPトップ10 for LLM⽇本語 • OWASPトップ10

    2021⽇本語 • OWASP Proactive Controls 2018⽇本語 • OWASP ASVS 4.0 ⽇本語 • Mobile ASVS⽇本語 • 開発者のためのOWASPチートシート ⼀覧表 2024/2
  4. ݦࡏԽ͖ͯͨ͠ڴҖΞΫλʔͷྨܕ ⾏動 内容 ツール サイバーテロ 戦争⾏為・テロ⾏為 / サイバー空間は、「第5の戦場」 DDoS攻撃、ウイルス/マルウェア、ウェブ改ざん、情報窃 取・破壊

    サイバー・インテリジェンス 脆弱性など情報収集活動、諜報活動、スパイ⾏為 フィッシング、キーロギング、スパイウェア、インフォス ティーラ サイバー脅迫 主に⾦銭を⽬的とした犯罪。企業への脅迫が進展 ランサムウェア、データの暗号化、⾝代⾦要求 、 リークサイト サイバー詐欺 消費者、企業ともにターゲットとしたコソ泥 BEC、フィッシング、サポート詐欺(広告) ハクティビズム サイバー上で⾏う政治活動 DoS攻撃、データ漏洩、ウェブ改ざん 悪ふざけ・SNSナンパ・ 偽情報の流布 個⼈攻撃・名誉毀損・ストーカー・拉致・インプレッション獲得 ソーシャルエンジニアリング、サイバーストーキング、ソー シャルネットワーク、広告の悪⽤ 
  5. &/*4"5ISFBU-BOETDBQF • ϥϯαϜ΢ΣΞ • Ϛϧ΢ΣΞ • ιʔγϟϧΤϯδχΞϦϯά • σʔλ΁ͷڴҖ •

    Քಇ΁ͷڴҖ %P4 • ωοτ઀ଓ΁ͷڴҖ • ৘ใૢ࡞ • αϓϥΠνΣΠϯ߈ܸ 2024/2
  6. 脆弱性の解像度をあげよう 脆弱性発⽣箇所 どんな状態か 対応⼿段の提供者 すぐ対応 シフトレフト デスクトップやスマートフォン デバイスのOSに問題があり、保護が⼿ 薄、あるいは脆弱な状態になっている プラットフォーマ

    (Apple, Googleなど) アップデート適⽤、 設定調整 ⾃動アップデート活⽤、 更新情報プロセス強化 アプリケーションソフトウェア バグや、踏み台などの脆弱性 開発会社、販売会社 アップデート適⽤、設定 調整、 アップデートあるいは アンインストール ネットワーク機器、デバイス 装置のファームウェアが古いあるいは 悪⽤されやすい設定になっているため 脆弱な状態 メーカー アップデート適⽤ ネットワーク機器や 構成の⾒直し システム:オープンソースや サードパーティAPIなど システム:プログラムコード システム:クラウドサービス、 アプリケーションの設定 ユーザ、オペレータ 2024/2
  7. 脆弱性の解像度をあげよう 脆弱性発⽣箇所 どんな状態か 対応⼿段の提供者 すぐ対応 シフトレフト デスクトップやスマートフォン デバイスのOSに問題があり、保護が⼿ 薄、あるいは脆弱な状態になっている プラットフォーマ

    (Apple, Googleなど) アップデート適⽤、 設定調整 ⾃動アップデート活⽤、 更新情報プロセス強化 アプリケーションソフトウェア バグや、踏み台などの脆弱性 開発会社、販売会社 アップデート適⽤、設定 調整、 アップデートあるいは アンインストール ネットワーク機器、デバイス 装置のファームウェアが古いあるいは 悪⽤されやすい設定になっているため 脆弱な状態 メーカー アップデート適⽤ ネットワーク機器や 構成の⾒直し システム:オープンソースや サードパーティAPIなど システムで利⽤しているOSで使われて いるOSSのソースコードに問題が発⾒ され脆弱性があるということが広く知 られる OSSプロジェクト、 LinuxやMicrosoftなど OSベンダー 動作検証と アップデート適⽤ ソフトウェア構成分析SCA の導⼊、SBOM システム:プログラムコード ⾃社あるいはSIerが開発したコードに問 題があり、脆弱になっている コードを書いた⼈ない し、開発プロジェクト チーム プログラムの修正 SAST、ハンズオン 教育訓練、検査ツールの強 化など⽣産技術的強化 システム:クラウドサービス、 アプリケーションの設定 コンフィギュレーションの問題で、 データが侵害されやすい状態などで脆 弱になっている クラウドベンダーある いはその先進的なユー ザ 設定の修正 適切な脆弱性検査や モニタリングの強化 ユーザ、オペレータ 2024/2
  8. 脆弱性の解像度をあげよう 脆弱性発⽣箇所 どんな状態か 対応⼿段の提供者 すぐ対応 シフトレフト デスクトップやスマートフォン デバイスのOSに問題があり、保護が⼿ 薄、あるいは脆弱な状態になっている プラットフォーマ

    (Apple, Googleなど) アップデート適⽤、 設定調整 ⾃動アップデート活⽤、 更新情報プロセス強化 アプリケーションソフトウェア バグや、踏み台などの脆弱性 開発会社、販売会社 アップデート適⽤、設定 調整、 アップデートあるいは アンインストール ネットワーク機器、デバイス 装置のファームウェアが古いあるいは 悪⽤されやすい設定になっているため 脆弱な状態 メーカー アップデート適⽤ ネットワーク機器や 構成の⾒直し システム:オープンソースや サードパーティAPIなど システムで利⽤しているOSで使われて いるOSSのソースコードに問題が発⾒ され脆弱性があるということが広く知 られる OSSプロジェクト、 LinuxやMicrosoftなど OSベンダー 動作検証と アップデート適⽤ ソフトウェア構成分析SCA の導⼊、SBOM システム:プログラムコード ⾃社あるいはSIerが開発したコードに問 題があり、脆弱になっている コードを書いた⼈ない し、開発プロジェクト チーム プログラムの修正 SAST、ハンズオン 教育訓練、検査ツールの強 化など⽣産技術的強化 システム:クラウドサービス、 アプリケーションの設定 コンフィギュレーションの問題で、 データが侵害されやすい状態などで脆 弱になっている クラウドベンダーある いはその先進的なユー ザ 設定の修正 適切な脆弱性検査や モニタリングの強化 ユーザ、オペレータ 利⽤が許可されている機能あるいは データの取り扱いを誤⽤してしまう ユーザ⾃⾝、ならびに その組織 応急対応と原因究明 ⾮常事態の対応訓練 業務データ取り扱い訓練 ユーザビリティ向上 モニタリングの強化 2024/2
  9. ҙਤతͳαϓϥΠνΣΠϯϦεΫ͸༧૝Ҏ্ ڴҖͱͳΔख๏ • EBZ • λΠϙεΫϫοςΟϯά • ϓϩδΣΫτϋΠδϟοΫ • ϚεΧϨʔυ߈ܸ

    • ґଘؔ܎σʔλͷഁյ • ੬ऑੑͷҙਤతͳ์ஔɾࠞೖ • 1SPUFTUXBSF λʔήοτʂ • αʔυύʔςΟɾ044ϨϙδτϦαʔϏε • /1. 1Z1* 3VCZ(FNT .BWFO /V(FU  $1"/ • ։ൃϓϥοτϑΥʔϜ ։ൃऀΞΧ΢ϯτ • (JUIVC (JUMBC ΄͔ 2024/2
  10. αϓϥΠνΣΠϯϦεΫͱରԠ 攻撃タイプ 説明 対策 AIによる対策の例 ゼロデイ 0-day 未知の脆弱性を利⽤する攻撃で、 対策が困難。 定期的な脆弱性スキャンとパッチ

    適⽤、脅威インテリジェンスの活 ⽤、セキュリティリサーチとコ ミュニティとの連携。 未知の攻撃パターンを検出するた めの異常検出システムに深層学習 を適⽤。 タイポスクワッティング Typosquatting ユーザーがよく知られたパッケー ジ名をタイプミスすることを利⽤ し、似たような名前の偽パッケー ジを公開する攻撃。 パッケージ名を慎重に確認、公式 ソースからのみダウンロード、信 頼できるリポジトリの使⽤ ドメイン名やパッケージ名の類似 性を分析し、潜在的なタイポスク ワッティングを検出するためにAIを 利⽤ プロジェクトハイジャック Hijacking メンテナーや貢献者のアカウント が乗っ取られ、プロジェクトに悪 意あるコードが挿⼊される。 マルチファクタ認証の強化、アク セス権限の厳格な管理、定期的な セキュリティレビュー。 不正なアクセスや異常なコミット パターンの検出に機械学習モデル を使⽤。 Protestware 開発者が政治的または社会的メッ セージをコードに挿⼊し、使⽤者 に意図しない影響を与える。 コミュニティガイドラインの策定 と遵守、コードレビュープロセス の厳格化。 ⾃然⾔語処理(NLP)を⽤いてコー ド内の不適切なメッセージを識別。 2024/2 つづく
  11. αϓϥΠνΣΠϯϦεΫͱରԠ DPOU 2024/2 攻撃タイプ 説明 対策 AIによる対策の例 マスカレード攻撃 Masquerading Project

    正規のパッケージや開発者で あるかのように偽装し、ユー ザーを騙して悪意あるコード をダウンロードさせる攻撃 パッケージの信頼性と起源を確認、 開発者の署名や認証をチェック、 コミュニティのフィードバックや レビューを参照 開発者の⾏動パターンやコミット 履歴を分析し、異常があれば警告 するAIシステムを導⼊ 依存関係への攻撃 Attack to Dependency data Cf. Dependency Confusion オープンソースプロジェクトが依 存する外部ライブラリやパッケー ジに悪意のあるコードが挿⼊され、 それがプロジェクトに引き継がれ る攻撃 依存関係の定期的な監査と更新、 ⾃動化されたセキュリティスキャ ンツールの使⽤、最⼩限の依存関 係の原則、信頼できるソースから のみ依存関係を使⽤ 依存関係のグラフを分析し、異常 な依存パターンや突然の変更を検 出するAIアルゴリズムを適⽤ 脆弱性の意図的な混⼊放置 Sabotage セキュリティ上の問題が認識され ているにも関わらず、修正が遅延 されるか完全に無視される。 オープンソースプロジェクトにお けるセキュリティポリシーの策定 と適⽤、脆弱性に対する迅速な対 応とコミュニケーションの強化。 プロジェクトのコミット履歴と議 論を分析し、脆弱性に対する対応 の遅れを検出。
  12. ఏҊɿ4$" 4PGUXBSF$PNQPTJUJPO"OBMZTJT ιϑτ΢ΣΞߏ੒෼ੳΛݟ௚ͦ͏ • γεςϜ಺ʹΞοϓσʔτͰ͖͍ͯͳ͍ίϯϙʔωϯτΛՄࢹԽͰ͖Δ͚ͩͰ͸ ͩΊͩΖ͏ • ͭ·Γ • ίϯϙʔωϯτͷΞοϓσʔτ࿙Εͷྻڍ͚ͩͰ͸ͳ͘ɺਂࠁ౓͕໌Β͔ʹΘ͔Δඞཁ͕͋

    ΔͩΖ͏ • ࢒ଘ͍ͯ͠Διϑτ΢ΣΞͷ੬ऑੑ͕߈ܸՄೳͳ10$ͷଘࡏ͸Θ͔Δ΂͖ͩΖ͏ • 4#0.ग़ྗ͸΋ͪΖΜ͕ͩɺͦͷධՁ΋Ͱ͖Δඞཁ͕͋ΔͩΖ͏ • ͞Βʹ • $7&ʹࡌΒͳ͍໰୊ ҙਤత߈ܸ͸ࡌΒͳ͍܏޲ ΛΧόʔͰ͖Δඞཁ͕͋ΔͩΖ͏ • ར༻͍ͯ͠Δίʔυͱͷؔ܎ੑΛ෼ੳͰ͖Δඞཁ͕͋ΔͩΖ͏ 4"45 • ૉߦͷ͋΍͍͠ϓϩδΣΫτɺ։ൃऀɺίʔυͷ܏޲ͳͲͷΠϯςϦδΣϯε͕૊Έࠐ·Ε ͍ͯΔ͜ͱ͕ඞਢʹͳΔͩΖ͏ 2024/2