OWASP AppSensor Rethinking Information Security #appsecapac2014

Transcript

1. O W A S P A p p S e n s o r R e t h i n k i n g I n f o r m a t i o n S e c u r i t y D e n n i s G r o v e s , M S c d e n n i s . g r o v e s @ o w a s p . o r g M a r c h 1 7 , 2 0 1 4
2. R e t h i n k i n g I n f o r m a t i o n S e c u r i t y
3. R e t h i n k i n g I n f o r m a t i o n S e c u r i t y
4. A b o u t M e
5. A T h o u g h t E x p e r i m e n t
6. O P S E C
7. 1 : I d e n t i f y C r i t i c a l I n f o
8. V i t o r i a n D u e l
9. T i m e B a s e d S e c u r i t y T h e o r e m P r o t e c t i o n t i m e m u s t b e g r e a t e r t h a n o r e q u a l t o d e t e c t i o n t i m e p l u s r e a c t i o n t i m e . ( 1 ) Pt ≥ Dt + Rt
10. W e s t e r D u e l
11. O u r O p p o n e n t P i s t o l D u e l N o v i c e S h o o t e r W e e k e n d S h o o t e r P r o f e s s i o n a l S h o o t e r Q u i c k D r a w C h a m p i o n A p p l i c a t i o n S c r i p t K i d d i e s H a c k t i v i s t s C r i m i n a l s D i s g r u n t l e d E m p l o y e e C o r p o r a t e S p y C y b e r W a r r i o r
12. O u t G u n n e d
13. 2 : A n a l y z e T h r e a t s P i s t o l D u e l H a n d g u n S k i l l s N e r v o u s n e s s P s y c h o l o g i c a l R e a d i n e s s A p p l i c a t i o n S p o o f i n g T a m p e r i n g R e p u d i a t i o n I n f o r m a t i o n D i s c l o s u r e D e n i a l o f S e r v i c e E l e v a t i o n o f P r i v i l e g e
14. 3 : A n a l y z e V u l n e r a b i l i t i e s P i s t o l D u e l J a m M i s f i r e B a c k f i r e T h e O W A S P T o p - 1 0 A 1 I n j e c t i o n A 3 C r o s s - S i t e S c r i p t i n g A 5 S e c u r i t y M i s c o n f i g u r a t i o n A 7 M i s s i n g A c c e s s C o n t r o l
15. 4 : A n a l y z e R i s k s T h e p r o b a b l e f r e q u e n c y a n d p r o b a b l e m a g n i t u d e o f f u t u r e l o s s R i s k = P ( I m p a c t ) ( 2 ) R i s k = P ( I m p a c t * V u l n e r a b i l i t y ) ( 3 ) R i s k = I m p a c t * V u l n e r a b i l i t y * T h r e a t ( 4 ) R i s k = P ( I m p a c t * V u l n e r a b i l i t y * T h r e a t ) ( 5 ) R i s k = I m p a c t * V u l n e r a b i l i t y * T h r e a t C o u n t e r m e a s u r e s ( 6 ) R i s k = I m p a c t * P ( T h r e a t ) * P ( V u l n e r a b i l i t y ) C o u n t e r m e a s u r e s ( 7 )
16. 5 : A p p l y C o u n t e r m e a s u r e s T o l e r a t e : D o n o t h i n g . T r a n s f e r : O u t s o u r c e t h e r i s k . T e r m i n a t e : E l i m i n a t e t h e a s s e t . T r e a t : R e d u c e t h e r i s k .
17. R i s k R e d u c t i o n M e t h o d s R e d u c i n g t h e r i s k ( t r e a t m e n t ) i s t h e m o s t c o m m o n s t r a t e g y u s e d t o d a y . R e d u c e t h e p r o b a b i l i t y o f a t h r e a t . R e d u c e t h e p r o b a b i l i t y o f a v u l n e r a b i l i t y .
18. R e d u c e A t t a c k S u r f a c e P i s t o l D u e l T u r n T o T h e S i d e C r o u c h D o w n L o w ? ? ? A p p l i c a t i o n P e n e t r a t i o n T e s t i n g C o d e R e v i e w P a t c h i n g
19. P r e d i c t i n g t h e F u t u r e
20. G a m e T h e o r y
21. B a s i c S t a t i s t i c s
22. N o w F o r S o m e t h i n g C o m p l e t e l y D i f f e r e n t
23. R i s k O p t i m i z a t i o n R i s k O p t i m i s a t i o n i s r a r e l y p r a c t i c e d , b u t h i g h l y e f f e c t i v e m e t h o d . R e d u c e t h e i m p a c t o f a n e v e n t
24. B u l l e t P r o o f V e s t
25. A d d R i s k R e d u c t i o n P r a c t i c e s A p p S e n s o r i s n o t a p a n a c e a n o r i s a v e s t Y o u d o n o t w a n t t o g e t s h o t , b u t i f y o u d o , y o u w a n t t o b e w e a r i n g a v e s t I f y o u g e t s h o t w h i l e w e a r i n g a v e s t , i t i s g o i n g t o h u r t , b u t y o u w i l l s u r v i v e
26. O W A S P A p p S e n s o r
27. A p p S e n s o r C o n t r i b u t o r s M i c h a e l C o a t e s , C o l i n W a t s o n , J o h n M e l t o n R y a n B a r n e t t , S i m o n B e n n e t t s , M a r c C h i s i n e v s k i , R o b e r t C h o n j n a c k i , A u g u s t D e t l e f s e n , S e a n F a y , R a n d y J a n i d a , A l e x L a u e r m a n , M a n u e l A r r e d o n d o , B o b M a i e r , C r a i g M u n s o n , G i r i N a m b a r i , A b d u l R a u f , J a y R e y n o l d s , E r i c S h e r i d a n , J o h n S t e v e n , A l e x T h i s s e n , D o n T h o m a s , K e v i n W a l l , M e h m e t Y i l m a z , J i m M a n i c o , D i n i s C r u z , m y s e l f a n d m a n y , m a n y o t h e r s . . .
28. D e f e n s i v e M e a s u r e s D e t e c t i o n & R e a c t i o n i n t h e A p p A t t a c k - A w a r e D e t e c t i o n N o r m a l a n d M a l i c i o u s B e h a v i o r E v a s i o n a n d U n k n o w n A t t a c k s
29. O v e r 5 0 D e t e c t i o n P o i n t s T y p e C o d e N a m e S i g n a t u r e R E R e q u e s t E x c e p t i o n s A E A u t h e n t i c a t i o n E x c e p t i o n s S E S e s s i o n E x c e p t i o n s A C E A c c e s s C o n t r o l E x c e p t i o n s I E I n p u t E x c e p t i o n s E E E n c o d i n g E x c e p t i o n s C I E C o m m a n d I n j e c t i o n E x c e p t i o n s B e h a v i o u r a l U T E U s e r T r e n d E x c e p t i o n s S T E S y s t e m T r e n d E x c e p t i o n s R P R e p u t a t i o n
30. R i c h R e s p o n s e R e s p o n s e T y p e E x a m p l e s L o g g i n g C h a n g e F u l l s t a c k t r a c e o f e r r o r m e s s a g e s l o g g e d R e c o r d D N S d a t a o n u s e r ’ s I P a d d r e s s A c c o u n t L o g o u t S e s s i o n t e r m i n a t e d a n d u s e r r e d i r e c t e d S e s s i o n t e r m i n a t e d o n l y ( n o r e d i r e c t ) A c c o u n t L o c k o u t U s e r a c c o u n t l o c k e d p e r m a n e n t l y O n e u s e r ’ s I P a d d r e s s r a n g e b l o c k e d A p p l i c a t i o n D i s a b l e d W e b s i t e s h u t d o w n a n d r e p l a c e d w i t h s t a t i c p a g e A p p l i c a t i o n t a k e n o f f l i n e
31. F u t u r e A p p S e n s o r D e v e l o p m e n t s A p p S e n s o r - c o r e A p p S e n s o r - w s - s o a p A p p S e n s o r - w s - r e s t A p p S e n s o r G u i d e
32. H o w C a n Y o u H e l p ? J o i n t h e M a i l i n g L i s t a n d P a r t i c i p a t e H e l p u s d e v e l o p r e f e r e n c e i m p l e m e n t a t i o n s T e l l y o u r f r i e n d s , a n d e m p l o y e r s
33. どうも 有難う 御座います .
34. ご質問はありますか？