セキュリティ要求定義で使える非機能要求グレードとASVS

 セキュリティ要求定義で使える非機能要求グレードとASVS

2017/7 OWASP Night, Japan
Speaker: オージス総研、安藤 崇周

D2c0774c30304e4970b502118aa791fe?s=128

OWASP Japan

July 30, 2018
Tweet

Transcript

  1. セキュリティ要求定義で使える 非機能要求グレードとASVS (株)オージス総研 安藤 崇周

  2. 自己紹介 • OWASP活動 – OWASP World Traning Tour 2017インストラクター –

    OWASP Top10 – 2017 日本語訳 • 業務 – アプリケーションセキュリティ・コンサルタント – ITアーキテクト – PM – Scrum Master(CSM&CSPO) – プログラマ(Java/Scala/C/JavaScript他) 2017/9/30 1
  3. 2017/9/30 2 要求定義なしで作ったソフトウェアの 振る舞いを検証できますか? ソフトウェアの開発では、そのソフト ウェアに対する要求が定義されている 必要があります。 いきなりですが、

  4. そもそも要求とは • システムが満たさなければならない必す(須) 条件 JISX0020:1992 情報処理用語(システム開発) 2017/9/30 3

  5. 機能要求と非機能要求 • 機能要求とは、ユーザがソフトウェアにどのよ うな機能を必要としているかを表す要求 • 非機能要求とは、ソフトウェアの提供する機 能が達成すべき性能や制限を表す要求 – 識別しにくい –

    アーキテクチャに影響 2017/9/30 4 セキュリティは基本的には非機能要求として検 討される オブジェクトの広場 『非機能要求とISO9126』 より https://www.ogis-ri.co.jp/otc/hiroba/technical/JavaPress_ISO9126/
  6. 非機能要求グレードとは • 「システム基盤」の可用性や拡張性な どの要求を明確化し、システムを発 注する側(ユーザ企業)とシステムを 開発する側(開発企業)で合意形成 するための手法及びツール群 • 4月に8年ぶりの改訂 –

    セキュリティ – 仮想化 2017/9/30 5 IPA 『非機能要求グレード 2018 活用シート』 より http://www.ipa.go.jp/sec/softwareengineering/reports/20100416.html
  7. セキュリティに関する改訂 2017/9/30 6 IPA 『非機能要求グレード2018 改訂情報 ~初版との差異~』 より https://www.ipa.go.jp/files/000066170.pdf サイバー攻撃を完全

    に防ぐことが困難に システムの グローバル化の進展 防御しきれずに侵入されること を前提とした新しいセキュリ ティの考え方や、ログの相関分 析といった新しいセキュリティ 対策を定義することが可能に 日本以外の国や地域の法令など も把握し定義することが可能に 時代の変化 改訂ポイント
  8. セキュリティの改訂を味わう 2018/7/30 7 非 機 能 要 求 項 目

    運用・保守性 システム環境・エコロジー セキュリティ 移行性 可用性 性能・拡張性 大項目 Web対策 マルウェア対策 ネットワーク対策 不正追跡・監視 データの秘匿 アクセス・利用制限 セキュリティリスク管理 セキュリティ診断 セキュリティリスク分析 前提条件・制約条件 セキュリティインシデント 対応/復旧 中項目 海外の法律も! 時間軸を考えたEOL対策や 必要暗号強度の変化対策を! 最初だけでなく運用中も診断を! リスク見直しのトリガーは、 重要な脅威や脆弱性の発見も含みます! パッチあてるまでの対策も! OWASP Top 10 2017 – A10 熟読しましょう! FWだけじゃなく IPSやメールフィルタも検討! 新設!CSIRTも考えましょう!
  9. 非機能要求グレードのイメージ 2017/9/30 8 ・部分的なピックアップです IPA 『非機能要求グレード 2018 活用シート』 より http://www.ipa.go.jp/sec/softwareengineering/reports/20100416.html

  10. 「情報セキュリティに関するコンプライアンス」への改訂 2017/9/30 9 中項目 前提条件・制約条件 メトリクス 順守すべき社内規程、ルール、法令、ガイドライン等の有無 備考【メトリクス】 旧 備考【メトリクス】

    新 具体例の記載なし 小項目説明に日本の例あ り 例) ・国内/海外の法律 不正アクセス禁止法・不正競争防止法・プロバイダ責任法・改 正個人情報保護法・SOX法・EU一般データ保護規則(GDPR)・ 特定電子メール送信適正化法・電子署名法など ・資格認証 プライバシーマーク・ISMS/ITSMS/BPMS/CSMS・ISO/IEC27000 系・PCI DSS・クラウド情報セキュリティ監査・TRUSTeなど ・ガイドライン FISC・FISMA/NIST800・政府機関の情報セキュリティ対策のため の統一基準など ・その他ルール 情報セキュリティポリシーなど IPA 『非機能要求グレード 2018 活用シート』 より http://www.ipa.go.jp/sec/softwareengineering/reports/20100416.html
  11. 「不正監視」への改訂 2017/9/30 10 中項目 不正追跡・監視 メトリクス ログの取得 備考【メトリクス】 旧 備考【メトリクス】

    新 取得対象のログは、不正な 操作等を検出するための以 下のようなものを意味してい る。 ・ログイン/ログアウト履歴 (成功/失敗) ・操作ログ 等 取得対象のログは、不正な操作等を検出するための以下の ようなものを意味している。取得したログは個々のログを確 認するだけでなく、複数のログを組み合わせて相関分析する ことも検討する。必要に応じて、ログと作業記録との突き合わ せも行う。 ・ログイン/ログアウト履歴(成功/失敗) ・操作ログ ・セキュリティ機器の検知ログ ・通信ログ ・DBログ ・アプリケーションログ 等 IPA 『非機能要求グレード 2018 活用シート』 より http://www.ipa.go.jp/sec/softwareengineering/reports/20100416.html
  12. 「セキュリティインシデント対応/復旧」の新設 2017/9/30 11 中項目 備考 セキュリティインシデント対応/復旧 【メトリクス】 セキュリティインシデント発生時の対応以外にも、イン シデント対応マニュアルの整備や、システムの関係者 に対するセキュリティ教育を実施する。

    【レベル0】 セキュリティインシデント発生の都度、インシデント対 応体制を構築する場合も含まれる。 【レベル1】 新たに対応体制を構築する他に、ユーザ企業内の CSIRTを利用する場合や、外部のセキュリティ対応 サービスを利用する場合も含まれる。 小項目 セキュリティインシデント対応/復旧 小項目説明 セキュリティインシデントが発生し た時に、早期発見し、被害の最小 化、復旧の支援等をするための体 制について確認する項目。 メトリクス セキュリティインシデントの対応体 制 ・今は重要項目になってい ないため、社会的影響度 によるレベルの推奨が今 はない IPA 『非機能要求グレード 2018 活用シート』 より http://www.ipa.go.jp/sec/softwareengineering/reports/20100416.html
  13. 非機能要求グレードの適用範囲 2017/9/30 12 IPAプレス発表 『高信頼な情報システム構築に必要な “要求項目” に関するドキュメント群を英訳』より https://www.ipa.go.jp/files/000008810.pdf 非機能要求グレードは システム基盤が

    ターゲット アプリケーションには OWASP ASVS アプリケーションのセキュリティは どう考えるか?
  14. OWASP Application Security Verification Standard(ASVS) 2017/9/30 13 • Web アプリケーションを設計,

    開発,テストするときに必要と なる,セキュリティ要件および 管理策のフレームワーク 『OWASPアプリケーションセキュリティ検証標準 3.0.1』より https://www.jpcert.or.jp/securecoding/materials-owaspasvs.html
  15. ASVS v3.0.1 V1 アーキテクチャ、設計、脅威モデリング V2 認証 V3 セッション管理 V4 アクセス制御

    V5 悪性入力の処理 V7 暗号化 V8 エラー処理とログの保存 V9 データの保護 V10 通信 V11 HTTPに関するセキュリティ設定 2017/9/30 14 V13 悪性活動の管理 V15 ビジネスロジック V16 ファイルとリソース V17 モバイル V18 Webサービス V19 構成
  16. 2017/9/30 15 『OWASPアプリケーションセキュリティ検証標準 3.0.1』 p.29よりより https://www.jpcert.or.jp/securecoding/materials-owaspasvs.html V8:エラー処理とログの保存に関する検証要件

  17. まとめ • システム基盤のセキュリティ要求を定義する 際には非機能要求グレードの項目が参考に なります。 • アプリケーションのセキュリティ要求を定義す る際にはアプリケーションセキュリティ検証基 準(ASVS)が参考になります。 2017/9/30

    16
  18. 2017/9/30 17 ご清聴ありがとうございました。