OWASP Fukushima Night 「情報セキュリティ１０大脅威」を読み解く / 10 Major Security Threats 2020

IPA（独立行政法人 情報処理推進機構）が毎年公開している「情報セキュリティ１０大脅威」の2020年版が公開されました。

本資料では2019年に起きたメジャーな情報セキュリティ関連のトピックを振り返りつつ「情報セキュリティ１０大脅威」の内容を噛み砕いで解説致します。

また、OWASP Fukushimaが継続的に参加しているインシデント対応競技会「Hardening Project」のご紹介も併せて行います。

技術的な話は必要最小限に留めておりますので、ITに関する知識に地震がない方にもお読み頂ける内容にしております。

Transcript

1. 08"41
   'VLVTIJNB
   /JHIU ʮ৘ใηΩϡϦςΟ̍̌େڴҖʯΛಡΈղ͘  αΠόʔ߈ܸ͔ΒϏδωεΛकΔͨΊʹɺ͍·Կ͕ٻΊΒΕ͍ͯΔ͔  ೥݄೔ Ր ओ࠵
   08"41
   'VLVTIJNB ձ৔ఏڙ
   ᷂ &ZFT
   +"1"/ձ௡ΦϑΟε
2. 2 ొஃऀ঺հ • *5ϕϯνϟʔ ձ௡एদ ͷ࠷ߴࣥߦ੹೚ऀ • /55υίϞ ΞΫηϯνϡΞΛܦͯݱ৬ • ϛογϣϯΫϦςΟΧϧྖҬͷ1.ʹैࣄ • ΠϯγσϯτରԠڝٕձʮ)BSEFOJOH
   1SPKFDUʯʹ೥ॳग़৔͠ೖ৆ • σʔλαΠΤϯεؔ࿈ͷΦϯϥΠϯαϩϯ ʮσʔλϥʔχϯάΪϧυʯͷӡӦʹࢀը ౻প ३Ұ ਅਫ ݈հ • *5ϕϯνϟʔ ձ௡एদ ͷ࠷ߴٕज़੹೚ऀ • ձ௡େֶଔۀޙɺαʔόσʔλϕʔεߏங
   όοΫΤϯυϑϩϯτΤϯυ։ൃΛ͜ͳ͢ ϑϧελοΫΤϯδχΞͱͳΓݱ৬ • ৽ׁࡏॅͷϑϧλΠϜϦϞʔτϫʔΧʔ • ΠϯγσϯτରԠڝٕձʮ)BSEFOJOH
   1SPKFDUʯͰ༏উܦݧ͋Γ © 2020 OWASP Fukushima
3. 3 © 2020 OWASP Fukushima 08"41ʢΦϫεϓʣͱ͸ʁ 08"41
    0QFO
   8FC
   "QQMJDBUJPO
   4FDVSJUZ
   1SPKFDU
   ͱ͸ɺ8FCΛ͸͡Ίͱ͢ Διϑτ΢ΣΞͷηΩϡϦςΟ؀ڥͷݱঢ়ɺ·ͨηΩϡΞͳιϑτ΢ΣΞ։ൃΛଅ ਐ͢Δٕज़ɾϓϩηεʹؔ͢Δ৘ใڞ༗ͱීٴܒൃΛ໨తͱͨ͠ϓϩϑΣογϣφ ϧͷू·ΔɺΦʔϓϯιʔεɾιϑτ΢ΣΞίϛϡχςΟͰ͢ɻ5IF
   08"41
   'PVOEBUJPO͸ɺ/10ஂମͱͯ͠શੈքͷ08"41ͷ׆ಈΛࢧ͍͑ͯ·͢ɻ 08"41
   +BQBOνϟϓλʔ͸ɺट౎ݍͷΈͳΒͣɺࠃ಺શҬʹ͓͍ͯɺνϟϓλʔ ͷͳ͍஍ҬͰͷීٴܒൃɺ஍ํϩʔΧϧνϟϓλʔࢧԉཁ੥ରԠͳͲɺશࠃͰͷη ΩϡϦςΟܒൃ׆ಈΛߦͳ͍ͬͯ·͢ɻ·ͨɺ຋༁ϓϩδΣΫτɺ։ൃϓϩδΣΫ τɺܒൃͷͨΊͷΠϕϯτͳͲʹΑΓɺάϩʔόϧͷίϛϡχςΟͱ࿈ܞ͍ͯ͠· ͢ɻ·ͨɺ੓෎ɾߦ੓ػؔɺڭҭػؔɺاۀɾஂମͳͲͱͷ࿈ܞͳͲͷཁ੥ʹ΋ੵ ۃతʹରԠ͍ͯ͠·͢ɻͲͷ஍Ҭʹ͓ॅ·͍ͷํ΋͝ࢀՃ͍͚ͨͩ·͢ɻ  08"41
   +BQBOνϟϓλʔ8FCαΠτΑΓ IUUQTXXXPXBTQPSHJOEFYQIQ+BQBO
4. 1 2 3 ৘ใηΩϡϦςΟΛΊ͙Δݱঢ় *1"ʮ৘ใηΩϡϦςΟେڴҖʯʹ͍ͭͯ ਎ۙʹ࣮ફͰ͖Δରࡦ 4 4 ΞδΣϯμ © 2020 OWASP Fukushima 5 ࣭ٙԠ౴ ΠϯγσϯτରԠڝٕձʮ)BSEFOJOH
   1SPKFDUʯͷ͝঺հ
5. ৘ใηΩϡϦςΟΛΊ͙Δݱঢ়
6. ̍͜͜೥Ͱ࿩୊ʹͳͬͨ ৘ใηΩϡϦςΟʹؔ͢Δχϡʔε ͋ͳͨ͸͍ͭ͘ݴ͑·͔͢ʁ
7. 7 ʮ୐;͍͊Δศʯʹͯສ݅ͷݸਓ৘ใ͕ྲྀग़ɺαʔϏεऴྃ΁ © 2020 OWASP Fukushima 4DBO/FU4FDVSJUZΑΓൈਮ ೔ܦ৽ฉΑΓൈਮ
8. 8 ԯ݅Λ௒͑Δ'BDFCPPLϢʔβ৘ใ͕ެ։ঢ়ଶʹ © 2020 OWASP Fukushima *OUFSOFU
   8BUDIΑΓൈਮ
9. QBZެࣜ΢ΣϒαΠτΑΓൈਮ 9 QBZʢηϒϯϖΠʣͷෆਖ਼ΞΫηε © 2020 OWASP Fukushima αʔϏε։࢝௚ޙʹෆਖ਼ར༻͕ଟൃɻඃ֐ऀ਺ɿ໿ ਓ ඃ֐ֹɿ໿ ສԁɻ Θ͔͔݄ͣ̏ͰαʔϏεΛऴྃͤ͞Δࣄଶʹɻ
10. ϠϚτӡ༌ެࣜ΢ΣϒαΠτΑΓൈਮ 10 Ϋϩωίϝϯόʔζ΁ͷෆਖ਼ϩάΠϯ © 2020 OWASP Fukushima ݅ͷෆਖ਼ϩάΠϯ͕ൃੜɻॅॴɾࢯ໊౳ͷొ࿥৘ใ͕ྲྀग़ͨ͠Մೳੑ͋Γɻ
11. 11 ̨̨̣౤ߘࣸਅͷಏʹࣸͬͨܠ৭͔Βॅॴಛఆ © 2020 OWASP Fukushima ౦ژ৽ฉ΢ΣϒαΠτΑΓൈਮ
12. 12 ਆಸ઒ݝிͰར༻͞Ε͍ͯͨ)%%Λॲ෼ձࣾͷࣾһ͕సച © 2020 OWASP Fukushima ਆಸ઒ݝொ΢ΣϒαΠτΑΓൈਮ ೔ܦϏδωεΑΓൈਮ
13. 13 ࡾඛిػ΁ෆਖ਼ΞΫηεɺػີ৘ใྲྀग़ͷՄೳੑ © 2020 OWASP Fukushima ࡾඛిػެࣜ΢ΣϒαΠτΑΓൈਮ
14. ͘͞ΒΠϯλʔωοτެࣜ΢ΣϒαΠτΑΓൈਮ 14 © 2020 OWASP Fukushima ๺ւಓશҬͷఀిʹΑΓɺ೔ຊ࠷େखͷϗεςΟϯάࣄۀऀ͕ੴङʹ࣋ͭσʔλη ϯλʔ͕ඇৗ༻ిݯͰͷՔಇΛ༨ّͳ͘͞ΕΔࣄଶʹɻ݁Ռͱͯ͠େ͖ͳαʔϏε Өڹ͸໔Ε͕ͨ׭ެி΍ֶज़ػؔͷαʔϏε͕ਙେͳӨڹΛड͚ΔՄೳੑ΋͋ͬͨɻ ๺ւಓ୾ৼ౦෦஍਒ʹΑΔσʔληϯλʔ΁ͷӨڹൃੜʢ೥ʣ िץΞεΩʔ΢ΣϒαΠτΑΓൈਮ
15. 15 ೔ຊ೥ۚػߏ΁ෆਖ਼ΞΫηεɺສ݅ͷݸਓ৘ใ͕ྲྀग़ʢ೥ʣ © 2020 OWASP Fukushima ްੜ࿑ಇল΢ΣϒαΠτΑΓൈਮ QJZPMPHʮ೔ຊ೥ۚػߏͷ৘ใ࿙͍͑ʹ͍ͭͯ·ͱΊͯΈͨʯΑΓൈਮ
16. ܦࡁ࢈ۀল )
    ߏ଄վֵపఈਪਐձ߹ ୈճࢿྉΑΓൈਮ 16 ࣾձΠϯϑϥʹର͢ΔαΠόʔ߈ܸ΋ൃੜʢ̍ʗ̏ʣ © 2020 OWASP Fukushima
17. 17 ࣾձΠϯϑϥʹର͢ΔαΠόʔ߈ܸ΋ൃੜʢ̎ʗ̏ʣ © 2020 OWASP Fukushima
18. 18 ࣾձΠϯϑϥʹର͢ΔαΠόʔ߈ܸ΋ൃੜʢ̏ʗ̏ʣ © 2020 OWASP Fukushima
19. 19 ւ֎Ͱ͸΄΅શࠃຽͷݸਓ৘ใ͕ྲྀग़͢Δ૽͗΋ © 2020 OWASP Fukushima
20. ݸਓɾ๏ਓ໰Θͣ ʮૂΘΕΔͷ͕౰ͨΓલʯͳ࣌୅
21. ʮૂΘΕͳ͍΄͏͕௝͍͠ʯ ͱݴͬͯ΋աݴͰ͸ͳ͍
22. ʮૂΘΕ͍ͯΔʯͱ͍͏͕֮ࣗͳ͍ͷ͸ ߈ܸʹؾ͍͍ͮͯͳ͍͚ͩ
23. ηΩϡϦςΟରࡦ͸ňಛผͳߦ͍ʼnͰ͸ͳ͘ɺ ň೔ৗతͳश׳ʼnͱଊ͑Δ΂͖
24. ৺਎ͷ݈߁ରࡦͱಉ͘͡ɺৗ೔ࠒ͔Β ʮ܏޲ͱରࡦʯΛҙࣝ͢Δ͜ͱ͕େࣄ
25. ʮ܏޲ͱରࡦʯΛֶͿʹ͸Ͳ͏͢Δ͔ʁ
26. *1"ʮ৘ใηΩϡϦςΟେڴҖʯʹ͍ͭͯ
27. 27 ৘ใηΩϡϦςΟେڴҖ  © 2020 OWASP Fukushima ৘ใηΩϡϦςΟେڴҖ ͱ͸ ೥ʹൃੜͨࣾ͠ձతʹӨڹ͕େ͖͔ͬͨ ͱߟ͑ΒΕΔ৘ใηΩϡϦςΟʹ͓͚ΔࣄҊ͔ Βɺ*1"͕ڴҖީิΛબग़͠ɺ৘ใηΩϡϦ ςΟ෼໺ͷݚڀऀɺاۀͷ࣮຿୲౰ऀͳͲ໿ ໊ͷϝϯόʔ͔ΒͳΔʮେڴҖબߟձʯ ͕ڴҖީิʹରͯ͠৹ٞɾ౤ථΛߦ͍ɺܾఆ͠ ͨ΋ͷͰ͢ɻ IUUQTXXXJQBHPKQTFDVSJUZWVMOUISFBUTIUNM
    ΑΓ ը૾͸೥൛
28. 28 ৘ใηΩϡϦςΟେڴҖ  © 2020 OWASP Fukushima ࡢ೥ ॱҐ ݸਓ ॱҐ ૊৫ ࡢ೥ ॱҐ /&8 εϚϗܾࡁͷෆਖ਼ར༻ Ґ ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ Ґ Ґ ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ Ґ ಺෦ෆਖ਼ʹΑΔ৘ใ࿙͍͑ Ґ Ґ ΫϨδοτΧʔυ৘ใͷෆਖ਼ར༻ Ґ Ϗδωεϝʔϧ࠮ٗʹΑΔۚમඃ֐ Ґ Ґ ΠϯλʔωοτόϯΩϯάͷෆਖ਼ར༻ Ґ αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ Ґ Ґ ϝʔϧ΍4.4౳Λ࢖ͬͨڴഭɾ࠮ٗͷ खޱʹΑΔۚમཁٻ Ґ ϥϯαϜ΢ΣΞʹΑΔඃ֐ Ґ Ґ ෆਖ਼ΞϓϦʹΑΔεϚʔτϑΥϯར༻ ऀ΁ͷඃ֐ Ґ ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ Ґ Ґ ωοτ্ͷ඄ᨱɾதইɾσϚ Ґ ෆ஫ҙʹΑΔ৘ใ࿙͍͑ʢنଇ͸९कʣ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ ϩάΠϯ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸਓ ৘ใͷ઄औ Ґ Ґ ِܯࠂʹΑΔΠϯλʔωοτ࠮ٗ Ґ *P5ػثͷෆਖ਼ར༻ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸ ਓ৘ใͷ઄औ Ґ αʔϏε๦֐߈ܸʹΑΔαʔϏεͷఀࢭ Ґ
29. 29 ݸਓฤ̍Ґ © 2020 OWASP Fukushima εϚϗܾࡁͷෆਖ਼ར༻ ඃ֐ͷྫʢ̍ʣ ѱҙͷ͋ΔୈࡾऀʹεϚϗܾࡁͷΞΧ΢ϯτΛ৐ͬऔΒΕɺ উखʹ঎඼Λߪೖ͞ΕΔɻ ߈ܸͷखޱ • ϑΟογϯά࠮ٗʹΑͬͯೖखɺ͋Δ͍͸ύεϫʔυ࢖͍ճ͍ͯͨ͠ผͷ αʔϏε͔Β࿙Ӯͨ͠৘ใΛѱ༻͠ɺଞਓʹͳΓ͢·ܾͯ͠ࡁΞϓϦʹ ෆਖ਼ϩάΠϯ͠ɺ঎඼Λߪೖ͢Δɻ
30. 30 ݸਓฤ̍Ґ © 2020 OWASP Fukushima εϚϗܾࡁͷෆਖ਼ར༻ ඃ֐ͷྫʢ̎ʣ 23ίʔυܾࡁʹ͓͍ͯɺళฮʹܝࣔ͞Ε͍ͯΔ23ίʔυΛ ಡΈऔͬͯࢧ෷ͬͨΒɺશ͘ผͷୈࡾऀʹૹۚ͞Εͨɻ ߈ܸͷखޱ • Կऀ͔͕ࢧ෷ઌͷ23ίʔυΛِ଄͠ɺຊདྷͷࢧ෷ઌ23ίʔυͷ্ʹ షΓ෇͚Δ͜ͱͰɺച্͕ۚୈࡾऀͷޱ࠲ʹૹۚ͞Ε͍ͯͨɻ
31. 31 ݸਓฤ̍Ґ © 2020 OWASP Fukushima εϚϗܾࡁͷෆਖ਼ར༻ ରࡦ • ϑΟογϯά࠮ٗ΁ͷରࡦΛऔΔɻ • ෆਖ਼ϩάΠϯ΁ͷରࡦΛऔΔɻ ʢ࣍Ҏ߱Ͱৄ͘͠͝આ໌ʣ • ܾࡁαʔϏεͷར༻ཤྺɺ࿈ܞ͢Δۜߦޱ࠲΍ΫϨδοτΧʔυͷऔҾ໌ࡉ Λ͜·Ίʹ఺ݕ͠ɺෆ৹ͳه࿥͕͋Ε͹૬ஊ૭ޱʹ໰͍߹ΘͤΔɻ
32. 32 ݸਓฤ̎Ґ © 2020 OWASP Fukushima ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ ඃ֐ͷྫ ۚ༥ػؔ΍༗໊اۀΛ૷ِͬͨͷ΢ΣϒαΠτ΁༠ಋ͠ɺ *%΍ύεϫʔυ౳ͷݸਓ৘ใΛೖྗͤͯ͞઄औ͢Δɻ ߈ܸͷखޱɿِͷαΠτʹ৘ใΛೖྗͤͯ͞઄औ • ༗໊اۀΛ૷ͬͯɺϑΟογϯάαΠτ΁ͷϦϯΫ͕هࡌ͞Εͨϝʔϧ΍ 4.4౳Λૹ৴͠ɺΞΫηεͤͨ͞αΠτͰར༻ऀ͕ೖྗͨ͠৘ใΛ઄औɻ • γεςϜ؅ཧऀ౳Λ૷ͬͯɺ૊৫಺Ͱར༻͢ΔαʔϏεͷϩάΠϯը໘Λ ໛ͨ͠ϖʔδͷϦϯΫΛهࡌͨ͠ϝʔϧΛඪత૊৫಺ʹ͹Β·͘ɻ
33. 33 ݸਓฤ̎Ґ © 2020 OWASP Fukushima ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ ରࡦ • ඃ֐ͷ༧๷ • ड৴ϝʔϧ΍΢ΣϒαΠτͷे෼ͳ֬ೝ • ϝʔϧ಺ͷϦϯΫΛ҆қʹΫϦοΫ͠ͳ͍ • ඃ֐ͷૣظݕ஌ • ར༻͢ΔαʔϏεͷϩάΠϯཤྺͷ֬ೝ • ޱ࠲ɺΫϨδοτΧʔυɺΩϟϦΞܾࡁͷར༻ཤྺͷ֬ೝ • ඃ֐Λड͚ͨޙͷରԠ • ύεϫʔυͷ࠶ઃఆ • ΫϨδοτΧʔυͷఀࢭ • ৴པͰ͖Δػؔʹ૬ஊ͢Δ
34. 34 ݸਓฤ̔Ґ © 2020 OWASP Fukushima Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ϩάΠϯ ඃ֐ͷྫ ར༻͍ͯ͠ΔαʔϏεͷೝূ৘ใʢ*%ɺύεϫʔυʣ͕઄औ·ͨ͸ਪଌ͞Εɺ ෆਖ਼ϩάΠϯ͞ΕΔɻαʔϏεͷػೳʹԠͯ͡ɺൃੜ͢Δඃ֐͸༷ʑɻ ߈ܸͷखޱɿෆਖ਼ʹೖखͨ͠ೝূ৘ใͰෆਖ਼ϩάΠϯ͢Δ • ύεϫʔυϦετ߈ܸ • ύεϫʔυਪଌ߈ܸ • ΢ΠϧεײછʹΑΔ઄औ
35. 35 ݸਓฤ̔Ґ © 2020 OWASP Fukushima Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ϩάΠϯ ରࡦ • ඃ֐ͷ༧๷ • ύεϫʔυΛద੾ʹ؅ཧ͢Δɻʢ௕͘ɺෳࡶʹɻ࢖͍ճ͞ͳ͍ʣ ˠύεϫʔυ؅ཧιϑτͷར༻͕๬·͍͠ɻ • ೋஈ֊ೝূɺଟཁૉೝূํࣜΛར༻͢Δɻ • ෆ৹ͳ΢ΣϒαΠτͰ҆қʹೝূ৘ใΛೖྗ͠ͳ͍ɻ • ར༻ස౓͕௿͍αʔϏε΍ෆཁͳαʔϏεͷΞΧ΢ϯτ࡟আɻ • ඃ֐Λड͚ͨޙͷରԠ • લষͷରԠˍαʔϏεӡӦऀ΁࿈བྷ
36. 36 ৘ใηΩϡϦςΟେڴҖ  © 2020 OWASP Fukushima ࡢ೥ ॱҐ ݸਓ ॱҐ ૊৫ ࡢ೥ ॱҐ /&8 εϚϗܾࡁͷෆਖ਼ར༻ Ґ ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ Ґ Ґ ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ Ґ ಺෦ෆਖ਼ʹΑΔ৘ใ࿙͍͑ Ґ Ґ ΫϨδοτΧʔυ৘ใͷෆਖ਼ར༻ Ґ Ϗδωεϝʔϧ࠮ٗʹΑΔۚમඃ֐ Ґ Ґ ΠϯλʔωοτόϯΩϯάͷෆਖ਼ར༻ Ґ αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ Ґ Ґ ϝʔϧ΍4.4౳Λ࢖ͬͨڴഭɾ࠮ٗͷ खޱʹΑΔۚમཁٻ Ґ ϥϯαϜ΢ΣΞʹΑΔඃ֐ Ґ Ґ ෆਖ਼ΞϓϦʹΑΔεϚʔτϑΥϯར༻ ऀ΁ͷඃ֐ Ґ ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ Ґ Ґ ωοτ্ͷ඄ᨱɾதইɾσϚ Ґ ෆ஫ҙʹΑΔ৘ใ࿙͍͑ʢنଇ͸९कʣ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ ϩάΠϯ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸਓ ৘ใͷ઄औ Ґ Ґ ِܯࠂʹΑΔΠϯλʔωοτ࠮ٗ Ґ *P5ػثͷෆਖ਼ར༻ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸ ਓ৘ใͷ઄औ Ґ αʔϏε๦֐߈ܸʹΑΔαʔϏεͷఀࢭ Ґ
37. 37 ૊৫ฤ̍Ґ © 2020 OWASP Fukushima ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ ඃ֐ͷྫ ϝʔϧ౳ʹΑΓ1$Λ΢Πϧεʹײછͤ͞૊৫಺෦΁જೖɻ ௕ظʹΘͨͬͯ৵֐ൣғΛঃʑʹ޿͛ɺ૊৫ͷػີ৘ใΛ઄औ͢Δɻ ߈ܸͷखޱɿ΢Πϧεײછ΍ෆਖ਼ΞΫηεʹΑΓػີ৘ใΛ઄औ • ඪతܕ߈ܸϝʔϧʢఴ෇ϑΝΠϧɺϦϯΫʣɺ΢ΣϒαΠτվ᜵ • ૊৫͕ར༻͢ΔΫϥ΢υαʔϏεʹෆਖ਼ϩάΠϯˠࣾ಺γεςϜʹΞΫηε ˠࣾ಺γεςϜͷ1$Λ΢Οϧεײછͤ͞ɺػີ৘ใΛ઄औ
38. 38 ૊৫ฤ̍Ґ © 2020 OWASP Fukushima ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ ରࡦ • ඃ֐ͷ༧๷ • ਝ଎͔ͭܧଓతʹରԠͰ͖Δ૊৫಺ମ੍ͷཱ֬ • ηΩϡϦςΟڭҭɺΠϯγσϯτ܇࿅ʹΑΔ৘ใϦςϥγʔͷ޲্ • ηΩϡΞͳγεςϜઃܭɺΞΫηε੍ޚ • ඃ֐ͷૣظݕ஌ • ωοτϫʔΫɺΤϯυϙΠϯτͷ؂ࢹ • ඃ֐Λड͚ͨޙͷରԠ • ਝ଎ͳใࠂɺӨڹௐ͓ࠪΑͼݪҼͷ௥ڀɺରࡦͷڧԽ
39. 39 ૊৫ฤ̐Ґ © 2020 OWASP Fukushima αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ ඃ֐ͷྫ ੡඼ͷ੡଄ɺ෺ྲྀɺൢചͳͲͷҰ࿈ͷ঎ྲྀʹ͓͍ͯɺ ରࡦ͕؁͍૊৫͕߈ܸͷ଍͕͔Γͱͯ͠ૂΘΕɺ ֎෦ҕୗઌ૊৫͔Β৘ใ͕࿙Ӯ͢Δɻ ཁҼɿࣗ૊৫ͷΈ͕ηΩϡϦςΟରࡦΛߨͯ͡΋͕݀Ͱ͖Δ • αϓϥΠνΣʔϯΛద੾ʹબఆɺ؅ཧ͍ͯ͠ͳ͍ • ࠶ҕୗઌ΍࠶ʑҕୗઌͷ؅ཧ͸ࠔ೉
40. 40 ૊৫ฤ̐Ґ © 2020 OWASP Fukushima αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ ରࡦ • ඃ֐ͷ༧๷ • ৴པͰ͖Δҕୗઌ૊৫ͷબఆ • ҕୗઌ૊৫ͷ؅ཧɺೲ඼෺ͷݕূ • ܖ໿಺༰ͷ֬ೝɺ࢓༷ͷ௨Γཤߦ͞Ε͍ͯΔ͔νΣοΫ • ඃ֐Λड͚ͨޙͷରԠ • ؔ܎૊৫΁ͷਝ଎ͳঢ়گใࠂ • Өڹௐ͓ࠪΑͼݪҼͷ௥ڀɺରࡦͷڧԽ
41. 41 ૊৫ฤ̒Ґ © 2020 OWASP Fukushima ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ ඃ֐Λड͚Δഎܠ ϋʔυ΢ΣΞো֐΍ɺ஍਒ɺ߽ӍɺߑਫͷΑ͏ͳࣗવࡂ֐͸ɺ ༧૝Ͱ͖ͳ͍λΠϛϯάͰಥવൃੜ͠ɺۀ຿ఀࢭΛҾ͖ى͜ ͢ݪҼͱͳΔɻ ؅ཧऀ͕ޡͬͯॏཁσʔλΛ࡟আͯ͠͠·͏ͳͲɺ ਓҝతϛε΋ۀ຿ఀࢭͷݪҼͱͳΔɻ
42. 42 ૊৫ฤ̒Ґ © 2020 OWASP Fukushima ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ ରࡦ • όοΫΞοϓ΍γεςϜͷೋॏԽͳͲɺো֐΍ࡂ֐ʹ උ͑ͨγεςϜઃܭΛߦ͏ɻ • खॱॻ΍ঝೝϓϩηεͷ੔උͳͲɺਓҝతϛεΛܰݮ Ͱ͖Δӡ༻ઃܭΛߦ͏ɻ • ϩάͷ؂ࢹ΍γεςϜͷࢮ׆؂ࢹΛߦ͍ɺҟৗΛਝ଎ʹݕ஌͢Δɻ • ޡૢ࡞ͷൃੜΛ༧๷͢ΔͨΊɺΞΧ΢ϯτ΍ݖݶΛద੾ʹ؅ཧ͢Δɻ
43. 43 ৘ใηΩϡϦςΟେڴҖ 
    ·ͱΊ © 2020 OWASP Fukushima ࡢ೥ ॱҐ ݸਓ ॱҐ ૊৫ ࡢ೥ ॱҐ /&8 εϚϗܾࡁͷෆਖ਼ར༻ Ґ ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ Ґ Ґ ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ Ґ ಺෦ෆਖ਼ʹΑΔ৘ใ࿙͍͑ Ґ Ґ ΫϨδοτΧʔυ৘ใͷෆਖ਼ར༻ Ґ Ϗδωεϝʔϧ࠮ٗʹΑΔۚમඃ֐ Ґ Ґ ΠϯλʔωοτόϯΩϯάͷෆਖ਼ར༻ Ґ αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ Ґ Ґ ϝʔϧ΍4.4౳Λ࢖ͬͨڴഭɾ࠮ٗͷ खޱʹΑΔۚમཁٻ Ґ ϥϯαϜ΢ΣΞʹΑΔඃ֐ Ґ Ґ ෆਖ਼ΞϓϦʹΑΔεϚʔτϑΥϯར༻ ऀ΁ͷඃ֐ Ґ ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ Ґ Ґ ωοτ্ͷ඄ᨱɾதইɾσϚ Ґ ෆ஫ҙʹΑΔ৘ใ࿙͍͑ʢنଇ͸९कʣ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ ϩάΠϯ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸਓ ৘ใͷ઄औ Ґ Ґ ِܯࠂʹΑΔΠϯλʔωοτ࠮ٗ Ґ *P5ػثͷෆਖ਼ར༻ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸ ਓ৘ใͷ઄औ Ґ αʔϏε๦֐߈ܸʹΑΔαʔϏεͷఀࢭ Ґ
44. 44 ࢀߟ৘ใ © 2020 OWASP Fukushima • ৘ใηΩϡϦςΟେڴҖ ɿ*1"
    ಠཱߦ੓๏ਓ ৘ใॲཧਪਐػߏ IUUQTXXXJQBHPKQTFDVSJUZWVMOUISFBUTIUNM • ৘ใηΩϡϦςΟେڴҖ ɿ*1"
    ಠཱߦ੓๏ਓ ৘ใॲཧਪਐػߏ IUUQTXXXJQBHPKQTFDVSJUZWVMOUISFBUTIUNM ଞɺաڈͷʮ৘ใηΩϡϦςΟେڴҖʯࢿྉ • εϚϗܾࡁͷෆਖ਼ར༻͸ͳʹ͕ݪҼʁ c
    τϨϯυϚΠΫϩ JT IUUQTXXXJTKQNBOHB • ΩϟογϡϨεେࠞཚɿʮ̧̦ίʔυ࠮ٗʯʹ͝༻৺ ؆୯ͳखޱͰଟൃ͢Δඃ֐ʹଜా৾Ұ࿠ʗ Ճ౻݁Ֆ c
    िץΤίϊϛετ 0OMJOF IUUQTXFFLMZFDPOPNJTUNBJOJDIJKQBSUJDMFTTFND
45. ਎ۙʹ࣮ફͰ͖Δରࡦ
46. 46 ৘ใηΩϡϦςΟରࡦͷجຊ © 2020 OWASP Fukushima ߈ܸͷࢳޱ ৘ใηΩϡϦςΟରࡦͷجຊ ໨త ιϑτ΢ΣΞͷ੬ऑੑ ιϑτ΢ΣΞͷߋ৽ ੬ऑੑΛղফ͠߈ܸʹΑΔϦεΫ Λ௿ݮ͢Δ ΢Πϧεײછ ηΩϡϦςΟιϑτͷར༻ ߈ܸΛϒϩοΫ͢Δ ύεϫʔυ઄औ ύεϫʔυͷ؅ཧɾೝূͷڧԽ ύεϫʔυ઄औʹΑΔϦεΫΛ௿ ݮ͢Δ ઃఆෆඋ ઃఆͷݟ௚͠ ޡͬͨઃఆΛ߈ܸʹར༻͞Εͳ͍ Α͏ʹ͢Δ ༠ಋʢ᠘ʹ͸ΊΔʣ ڴҖɾखޱΛ஌Δ खޱ͔Βॏཁࢹ͢Δ΂͖ରࡦΛཧ ղ͢Δ
47. 47 ৘ใηΩϡϦςΟରࡦͷجຊ © 2020 OWASP Fukushima • ιϑτ΢ΣΞͷߋ৽ • 1$΍εϚϗʹιϑτ΢ΣΞߋ৽͕དྷͨΒɺਝ଎ʹΞοϓσʔτ͢Δɻ • ηΩϡϦςΟιϑτͷར༻ • 1$΁ͷ΢Οϧε΍Ϛϧ΢ΣΞͷ৵ೖΛ๷͙ɻ • ύεϫʔυͷ؅ཧɾೝূͷڧԽ • ύεϫʔυ؅ཧπʔϧΛ࢖͏ɻೋஈ֊ೝূΛ࢖͏ɻ • ઃఆͷݟ௚͠ • ΞΫηε੍ޚʹෆඋ͕ͳ͍Α͏఺ݕ͢Δɻ • ڴҖɾखޱΛ஌Δ • ఴ෇ϑΝΠϧ΍ϝʔϧຊจͷϦϯΫΛෆ༻ҙʹ։͔ͳ͍ɻ • ։͍ͨ΢ΣϒαΠτ͕ਖ਼نͷ΋ͷ͔֬ೝ͢Δɻ
48. ৘ใηΩϡϦςΟରࡦ͸ٕज़͚ͩͷ໰୊ͱଊ͑ΒΕ͕ͪ ʢηΩϡϦςΟʹٕज़త໰୊ͱޡೝ͍ͯ͠Δਓ͕গͳ͘ͳ͍ʣ ࣮ࡍʹ͸૊৫ମ੍΍ϙϦγʔࡦఆɺྙཧڭҭͳͲ΋ ؚΊͯଟ֯తʹऔΓ૊Ήඞཁ͕͋Δ 48
49. ৗʑɺݚम΍஫ҙשىΛͱ͓ͯ͠৘ใηΩϡϦςΟʹ ର͢ΔҙࣝΛ޲্ͤ͞ɺܧଓతʹऔΓ૊Ή͜ͱ͕େࣄ 49
50. ҰํͰص্ͷԋश͚ͩͰ͸ʮϦΞϧ͞ʯ͕ͳ͘ɺ ࣮ࡍʹΠϯγσϯτ͕ൃੜͨ͠ࡍʹਖ਼͘͠ରॲͰ͖Δ͔ ෆ֬ఆͰ͋ͬͨΓɺܗ֚ԽͷڪΕ͕͋Δ 50
51. ΠϯγσϯτରԠڝٕձ ʮ)BSEFOJOH
    1SPKFDUʯͷ͝঺հ 51
52. • αΠόʔηΩϡϦςΟʔͷٕज़Λڝ͏ڝٕձ • ओ࠵ɿ8FC
    "QQMJDBUJPO
    4FDVSJUZ
    'PSVNʢ8"4'PSVNʣ • ڠྗஂମɿ֤஍Ҭͷ৘ใηΩϡϦςΟʔڠٞձɺߦ੓ػؔɺେֶɺ*5اۀ • ʰʮӴΔٕज़ʯͷՁ஋Λ࠷େԽ͢Δ͜ͱΛ໨ࢦ͢ʱ • ڝٕձˍൃදձʢ)BSEFOJOH
    %BZɾ4PGUFOJOH
    %BZʣ • ͶΒ͍ɿେձ։࠵Λ௨ͯ͠ηΩϡϦςΟʔٕज़ͷਓࡐҭ੒ͱීٴΛ໨ࢦ͢ 52 )BSEFOJOH
    1SPKFDUͱ͸ © 2020 OWASP Fukushima
53. ͜Ε·Ͱɺ೔ຊશࠃ ༷ʑͳձ৔Ͱ։࠵ 53 )BSEFOJOH
    1SPKFDUͱ͸ © 2020 OWASP Fukushima ࡳຈ ԭೄɾ ٶݹౡ ౦ژ ୶࿏ౡ
54. • ΢ΣϒΞϓϦέʔγϣϯͷηΩϡϦςΟʔʹؔ͢Δ՝୊ͷݚڀ ରࡦ৘ใͷܒ໤Λߦ͏ஂମ • ΧϯϑΝϨϯε΍ษڧձͳͲͷΠϕϯτΛ։࠵ 54 8"4'PSVNͱ͸ © 2020 OWASP Fukushima େֶ ੓෎ػؔ ηΩϡϦςΟʔ ؔ࿈اۀ
55. 55 ڝٕͰ͸ԿΛ͢Δͷ͔ © 2020 OWASP Fukushima ˞νʔϜߏ੒͸େձʹΑͬͯҟͳΓ·͢
56. © 2020 OWASP Fukushima ೥݄೔ʙ೔ )BSEFOJOH
    ᶘ
    46 ๺ւಓࡳຈࢢ αοϙϩϑΝΫτϦʔϗʔϧ
57. © 2020 OWASP Fukushima
58. © 2020 OWASP Fukushima
59. 59 ڝٕͰ͸ԿΛ͢Δͷ͔ © 2020 OWASP Fukushima • ਖ਼ৗՔಇΛҡ࣋͢Ε͹ࣗಈతʹച্͕ ૿͍͑ͯ͘࢓૊Έ • ͔͠͠ɺ&$αΠτ؀ڥʹ͸੬ऑੑ΍ ઃఆͷෆඋ͕࢓ࠐ·Ε͍ͯΔ • ڝٕ࣌ؒͷதͰ&$αΠτͷ؅ཧମ੍Λ ੔͑ɺ໰୊఺Λ୳͠ɺඞཁͳमਖ਼Λࢪ͢ • ෆҙʹൃੜ͢ΔΠϯγσϯτʹରԠ͠ɺϏδωεΛܧଓͤ͞Δ • ച্ͷ߹ܭ΍໰୊ରԠͷ੒ՌΛݩʹ࠾఺ɾධՁ͞ΕΔ
60. 60 ධՁํࣜ © 2020 OWASP Fukushima
61. 61 © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻
62. 62 ڝٕ։࢝ © 2020 OWASP Fukushima • ·ͣ࢝Ίʹߦ͏͜ͱ • ύεϫʔυมߋ • αʔόʔઃఆͷෆඋΛमਖ਼ • ੬ऑੑͷ͋Διϑτ΢ΣΞͷߋ৽ • த൫ʙऴ൫ • γεςϜʹҟৗ͕ͳ͍͔؂ࢹ • ൃੜͨ͠Πϯγσϯτ΁ͷରԠ
63. 63 ऑ఺Λಥ͍ͨ߈ܸ © 2020 OWASP Fukushima • 8PSE1SFTT • ॏେͳ੬ऑੑΛ࣋ͭόʔδϣϯ͕Քಇ͍ͯͨ͠ ˠ ෆਖ਼ͳॲཧͷ࣮ߦ • ੬ऑੑͷ͋ΔϓϥάΠϯ͕ଟ਺Πϯετʔϧ͞Ε͍ͯͨ ˠ ಉ্ • &$$6#& • ϚΠφεͷ਺ྔͰ஫จͰ͖Δෆ۩߹ ˠ ࡏݿ͕ݮΒ͞ΕΔ • ؅ཧը໘ͷϩάΠϯύεϫʔυݕূ࿙Ε ˠ ෆਖ਼ΞΫηε • %#ઃఆෆඋ • ֎෦ωοτϫʔΫ͔ΒΞΫηεՄೳʹͳ͍ͬͯͨ ˠ ߈ܸͷඃ֐Λট͘ • ΞΫηεೝূͷઃఆʹෆඋ͕͋ͬͨ ˠ ෆਖ਼ΞΫηε
64. 64 Χʔυ৘ใͷ࠮औ © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻
65. 65 ߈ܸΛड͚Δͱ © 2020 OWASP Fukushima
66. 66 ߈ܸඃ֐Λड͚ͨײ૝ © 2020 OWASP Fukushima • ߈ܸΛ༧૝ͨ͠ͱ͜ΖʹདྷͣɺࢥΘ͵ͱ͜ΖΛ߈ΊΒΕΔ • ࣮֬ͳʮൃݟˠ൑அˠରॲʯ͕ॏཁ • ࣍ʑى͖Δࣄଶʹ௥ΘΕ͍ͯΔͱ؆୯ͳ͜ͱͰ΋ରԠ͕஗ΕΔ • ৯ࣄΛͱΔ࣌ؒ͢Β੯͍͠ • ਫ਼ਆతͳλϑ͞΋ٻΊΒΕΔ
67. 67 ߨධˍ੒੷ൃද © 2020 OWASP Fukushima • ͦͷཌ೔ 4PGUFOJOH
    %BZ • ֤νʔϜ͕ࣄલ४උ΍ڝٕதͷରԠ ʹ͍ͭͯൃද͢Δ • ӡӦଆΑΓ߈ܸख๏ͷղઆΛަ͑ͯ ڝٕશମͷৼΓฦΓ • ੒੷ൃදˍදজࣜ IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻
68. © 2020 OWASP Fukushima
69. 69 νʔϜಠࣗͷऔΓ૊ΈͷධՁ © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻
70. 70 νʔϜಠࣗͷऔΓ૊ΈͷධՁ © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻ ద੾ͳސ٬ରԠ
71. 71 )BSEFOJOH
    1SPKFDUͱ͸ © 2020 OWASP Fukushima )BSEFOJOH
    1SPKFDUͱ͸ʜ ࣦഊͰ͖Δຊ൪؀ڥ • ຊ൪ʹݶΓͳ͍ۙ͘܇࿅؀ڥ • ٕज़͚ͩͰͳ͘ɺސ٬ରԠɺࣾ಺ରԠɺ๏຿ରԠ΋໰ΘΕΔ • νʔϜͷ૯߹ྗΛҾ͖ग़ͨ͢Ίͷ࿈ܞ͕ඞཁ
72. 72 )BSEFOJOH
    1SPKFDUͷ৘ใ © 2020 OWASP Fukushima ࣍ճେձͷ։࠵ɾࢀՃԠืͳͲΠϕϯτৄࡉ͸ɺ XBTGPSVNKQ Λ͝ࢀর͍ͩ͘͞
73. 73 .*/*
    )BSEFOJOH
    1SPKFDU © 2020 OWASP Fukushima ʮ΋ͬͱؾܰʹࢀՃ͍ͨ͠ʯͱ͍͏ํʹ͸ .*/*
    )BSEFOJOH
    1SPKFDU
74. • )BSEFOJOH
    1SPKFDUΛίϯύΫτͳߏ੒ʹͨ͠ɺ ΧδϡΞϧͳެࣜεϐϯΦϑΠϕϯτ ʲશߦఔɿ̎೔ؒˠ̍೔ɺڝٕ࣌ؒɿ̔࣌ؒˠ̏࣌ؒʳ • Πϯγσϯτ΍τϥϒϧʹରԠ͢ΔγφϦΦΛମݧͰ͖Δ 74 .*/*
    )BSEFOJOH
    1SPKFDUͱ͸ © 2020 OWASP Fukushima .*/*
    )BSEFOJOH
    1SPKFDU
75. 75 αςϥΠτձ৔͔ΒͷࢀՃ © 2020 OWASP Fukushima IUUQTXXXGBDFCPPLDPNEFMQIJO[ QPTUT
    ΑΓҾ༻ ೥݄೔ .*/*
    )BSEFOJOH 1SPKFDU
     !08"41
    ,BOTBJ
76. 76 ໊લ͸ʮ.*/*ʯͰ΋߈ܸ͸ຊ֨త © 2020 OWASP Fukushima • ੬ऑੑ͕मਖ਼͞Ε͍ͯͳ͍ιϑτ΢ΣΞ͕ಈ͍͍ͯΔ • Քಇ͍ͯ͠ΔγεςϜͷઃఆʹෆඋ͕͋Δ • 42-ΠϯδΣΫγϣϯˠ৘ใྲྀग़ɺσʔλͷվ᜵ • ίϚϯυ࣮ߦˠෆਖ਼ΞΫηεɺαʔϏεఀࢭ • ϥϯαϜ΢ΣΞʹΑΔϑΝΠϧͷ҉߸Խ
77. © 2020 OWASP Fukushima
78. ৘ใηΩϡϦςΟʔͷڴҖʹରͯ͠ ʮཧղΛਂΊɺద੾ͳରࡦΛߨ͡Δʯ ʮສ͕Ұͷࡍʹඃ֐Λ࠷খԽ͢Δʯ ͨΊʹɺਖ਼͍͠஌ࣝͱ܇࿅Λ