スクラム開発経験者のエンジニアが 1年間脆弱性診断してお伝えしたいいくつかのこと

by Misaki Makino

Slide 1

Slide 1 text

εΫϥϜ։ൃܦݧऀͷΤϯδχΞ͕ ೥ؒ੬ऑੑ਍அͯ͠ ͓఻͍͍͔͑ͨͭ͘͠ͷ͜ͱ ʙ ਍அσϞΛఴ͑ͯ ʙ .JTBLJ.BLJOP

Slide 2

Slide 2 text

ຊ΢ΣϏφʔͷഎܠ

Slide 3

Slide 3 text

ࣗݾ঺հ ˔ ΤϯδχΞͱͯ͠ ৽ଔೖࣾ ˔ ࣄۀ෦ ʹ഑ଐ͞ΕΔ ˓ چΞʔΩͰͷվमɾ৽نػೳ։ൃ ˓ ৽ΞʔΩ΁ͷҠߦϓϩδΣΫτ ˓ εΫϥϜ։ൃ ˔ ηΩϡϦςΟࣨ ΁ҟಈ ˓ ੬ऑੑ਍அ ˓ ؂ࢹ ˓ ܒ໤׆ಈ

Slide 4

Slide 4 text

഑ଐ௚ޙɺ্௕ʹݴΘΕͨ͜ͱ ηΩϡϦςΟ஌ࣝʹછ·͍ͬͯͳ͍ ཰௚ͳؾ࣋ͪ΍ٙ໰Λେ੾ʹ ֶΜͩ͜ͱΛશࣾʹൃ৴ͯ͠ཉ͍͠

Slide 5

Slide 5 text

શࣾһ޲͚ʹॳาతͳηΩϡϦςΟ஌ࣝΛ഑৴ ࠷ॳͷ࢓ࣄ4MBDL഑৴

Slide 6

Slide 6 text

ϢʔβʔετʔϦʔʹ ߈ܸऀΛ ௥ՃͰ͖ΔΑ͏ʹͳΔ͜ͱ ຊ΢ΣϏφʔͷΰʔϧ

Slide 7

Slide 7 text

ຊ೔ͷ͓඼ॻ͖ XFCΞϓϦ੬ऑੑ਍அͷखॱͱϙΠϯτ 08"41+VJDF4IPQΛ༻͍ͨ਍அσϞ ੬ऑੑ਍அۀ຿Λ௨ͯ͠ಘͨؾ͖ͮ ϢʔβʔετʔϦʔΛߟ͑ͯΈΔ ·ͱΊ

Slide 8

Slide 8 text

XFCΞϓϦ੬ऑੑ਍அͷ खॱͱϙΠϯτ

Slide 9

Slide 9 text

XFCΞϓϦ੬ऑੑ਍அͷखॱ πʔϧΛ༻͍ͨࣗಈ਍அ ϓϩΩγΛڬΜͩ໢ཏతͳΞϓϦશମͷૢ࡞ ਍அՕॴͷ༏ઌॱҐ෇͚ ਍அγφϦΦ࡞੒ खಈ਍அ ূ੻ه࿥ɺਐḿγʔτه࿥ ਍அ݁ՌϨϙʔτ࡞੒

Slide 10

Slide 10 text

πʔϧΛ༻͍ͨࣗಈ਍அ ϓϩΩγΛڬΜͩ໢ཏతͳΞϓϦશମͷૢ࡞ ਍அՕॴͷ༏ઌॱҐ෇͚ ਍அγφϦΦ࡞੒ खಈ਍அ ূ੻ه࿥ɺਐḿγʔτه࿥ ਍அ݁ՌϨϙʔτ࡞੒ ϙΠϯτᶃ ΞλϦ Λ͚ͭΔ

Slide 11

Slide 11 text

πʔϧΛ༻͍ͨࣗಈ਍அ ϓϩΩγΛڬΜͩ໢ཏతͳΞϓϦશମͷૢ࡞ ਍அՕॴͷ༏ઌॱҐ෇͚ ਍அγφϦΦ࡞੒ खಈ਍அ ূ੻ه࿥ɺਐḿγʔτه࿥ ਍அ݁ՌϨϙʔτ࡞੒ ϙΠϯτᶄ ߈ܸͷ ࣮ݱ༰қੑ ৘ใࢿ࢈ ͷՁ஋

Slide 12

Slide 12 text

πʔϧΛ༻͍ͨࣗಈ਍அ ϓϩΩγΛڬΜͩ໢ཏతͳΞϓϦશମͷૢ࡞ ਍அՕॴͷ༏ઌॱҐ෇͚ ਍அγφϦΦ࡞੒ खಈ਍அ ূ੻ه࿥ɺਐḿγʔτه࿥ ਍அ݁ՌϨϙʔτ࡞੒ ϙΠϯτᶅ ೴಺ʹ͋Δ ߈ܸख๏Λ ૿΍͢

Slide 13

Slide 13 text

۩ମతͳख๏Λ ந৅Խ͍ͯ͘͠

Slide 14

Slide 14 text

42- *OHFDUJPO

Slide 15

Slide 15 text

ೖྗ஋Λ ϓϩάϥϜͩͱ ೝࣝͤ͞Δ߈ܸ 42- *OHFDUJPO

Slide 16

Slide 16 text

ೖྗ஋Λ ϓϩάϥϜͩͱ ೝࣝͤ͞Δ߈ܸ ໊લΛ஌Βͳͯ͘΋ ࢥ͍ͭ͘͜ͱ͕Ͱ͖Δ ೖྗ஋Λ+4ͩͱ ϒϥ΢βʹ ೝࣝͤ͞Δ߈ܸ 42- *OHFDUJPO

Slide 17

Slide 17 text

ϙΠϯτᶆ ਍அͷ׬ྃ۩߹Λ ͻͱ໨ͰΘ͔ΔΑ͏ʹ͢Δ πʔϧΛ༻͍ͨࣗಈ਍அ ϓϩΩγΛڬΜͩ໢ཏతͳΞϓϦશମͷૢ࡞ ਍அՕॴͷ༏ઌॱҐ෇͚ ਍அγφϦΦ࡞੒ खಈ਍அ ূ੻ه࿥ɺਐḿγʔτه࿥ ਍அ݁ՌϨϙʔτ࡞੒

Slide 18

Slide 18 text

08"41+VJDF4IPQ Λ༻͍ͨ਍அσϞ

Slide 19

Slide 19 text

˔ ,BMJ-JOVY ˔ /FTTVT ˔ #VSQ4VJUF ˔ 'JSFGPY"EEPO ˓ 'PYZ1SPYZ ˓ 6TFS"HFOU4XJUDIFS ˓ 8SBQQBZ[FS πʔϧҰཡ

Slide 20

Slide 20 text

੬ऑੑ਍அۀ຿Λ௨ͯ͠ ಘͨؾ͖ͮ

Slide 21

Slide 21 text

όά͹͔ΓϨϙʔτʹ ॻ͍ͯ͠·͍ͬͯͨ ੬ऑੑ਍அۀ຿Λ࢝Ίͨͯͷࠒ !

Slide 22

Slide 22 text

ઌഐ͔ΒΑ࣭͘໰͞Εͨ͜ͱ ߈ܸऀʹ ͲΜͳϝϦοτ͕ ͋Γ·͔͢ʁ ຊ౰ʹ߈ܸ͸ ՄೳͰ͔͢ʁ όά୳͠Ͱ͸ͳ͘ϦεΫ୳͠ ͩͱೝࣝͰ͖ΔΑ͏ʹ

Slide 23

Slide 23 text

ࣄۀ෦ͰͷεΫϥϜ։ൃ ϦεΫ୳͠Ͱ͸ͳ͘ όά୳͠Λ͍ͯͨ͠

Slide 24

Slide 24 text

ࠓͷࣗ෼ͩͬͨΒ ϦεΫ୳͠΋ߦͬͨ ઃܭɾ࣮૷ɾςετ͕Ͱ͖Δ !

Slide 25

Slide 25 text

όά୳͠ͱϦεΫ୳͠ͷҧ͍ ˔ όά୳͠ͷؾ࣋ͪͰίτʹ޲͔͏ͱ ˓ ػೳΛਖ਼ৗʹಈ͔͢͜ͱ͚ͩʹ໨͕ߦ͘ ˓ ϢʔβʔετʔϦʔ͸ΞϓϦͱϢʔβʔͰ׬݁ ˔ ϦεΫ୳͠ͷؾ࣋ͪͰίτʹ޲͔͏ͱ ˓ ѱ༻͞ΕΔϦεΫ΋ߟ͑ΔΑ͏ʹͳΔ ˓ ϢʔβʔετʔϦʔʹ߈ܸऀ͕Ճ͑ΒΕΔΑ͏ʹ ͳΔ

Slide 26

Slide 26 text

ϢʔβʔετʔϦʔΛ ߟ͑ͯΈΔ ϩάΠϯը໘Ͱ͸ɺ ͲͷΑ͏ͳϢʔβʔετʔϦʔ͕ߟ͑ΒΕ·͔͢ʁ

Slide 27

Slide 27 text

όά୳͠ͰͷϢʔβʔετʔϦʔ ˔ Ϣʔβʔ͕ਖ਼͘͠ೖྗͨ͠৔߹ ˔ Ϣʔβʔ͕ύεϫʔυΛؒҧͬͯೖྗͨ͠৔߹ ˔ Ϣʔβʔ͕ϝʔϧΞυϨεΛؒҧͬͯೖྗͨ͠৔߹ ˔ Ϣʔβʔ͕ڐ༰͞Εͳ͍จࣈΛೖྗͨ͠৔߹ ˓ શ֯จࣈ ˓ ൒֯Χφจࣈ

Slide 28

Slide 28 text

ϦεΫ୳͠ͱͯ͠ଊ͑ͨ৔߹ ߈ܸͷ ࣮ݱ༰қੑ ৘ใࢿ࢈ ͷՁ஋

Slide 29

Slide 29 text

߈ܸऀ͔Β؍ͨϩάΠϯը໘ ˔ ߈ܸͷ࣮ݱ༰қੑʹ͍ͭͯ ˓ ୭Ͱ΋ΞΫηεՄೳͳը໘ ˓ ݕূ͢Δ΂͖஋΋ϝʔϧΞυϨεͱύεϫʔυͷ ̎छྨ͚ͩ ˔ ৘ใࢿ࢈ͷՁ஋ʹ͍ͭͯ ˓ Ϣʔβʔͷݸਓ৘ใ ˓ ձһొ࿥ࡁΈϢʔβʔϦετ

Slide 30

Slide 30 text

! ϦεΫ୳͠ͰͷϢʔβʔετʔϦʔ ˔ Ϣʔβʔ͕ਖ਼͘͠ೖྗͨ͠৔߹ ˔ Ϣʔβʔ͕ύεϫʔυΛؒҧͬͯೖྗͨ͠৔߹ ˔ Ϣʔβʔ͕ϝʔϧΞυϨεΛؒҧͬͯೖྗͨ͠৔߹ ˔ Ϣʔβʔ͕ڐ༰͞Εͳ͍จࣈΛೖྗͨ͠৔߹ ˔ ߈ܸऀ͕ϢʔβʔͷΞΧ΢ϯτΛ৐ͬऔΖ͏ͱͨ͠৔߹ ˔ ߈ܸऀ͕ొ࿥ࡁΈϢʔβʔͷϦετΛ࡞Ζ͏ͱͨ͠৔߹

Slide 31

Slide 31 text

Ϣʔβʔ ߈ܸऀ ͰΑΓ҆શੑ͕ߟྀ͞Εͨઃܭɾ࣮૷ɾςετʹ ύεϫʔυೖྗΛؒҧ͑ͨ৔߹ͷ࣮૷ ˔ ΤϥʔϨεϙϯεΛฦ͢ ˓ ϝʔϧΞυϨεͷొ࿥ͷ༗ແ͕Θ͔Βͳ͍Α͏ʹ͢Δ ˓ ࿈ଓͰࢼߦͰ͖Δճ਺Λ੍ݶ͢Δ

Slide 32

Slide 32 text

·ͱΊ

Slide 33

Slide 33 text

ಛʹ͓఻͍͑ͨ͜͠ͱ XFCΞϓϦ੬ऑੑ਍அͷखॱͱϙΠϯτ ۩ମతͳख๏Λந৅Խ͍ͯ͘͠ 08"41+VJDF4IPQΛ༻͍ͨ਍அσϞ #VSQ4VJUFͷجຊతͳ࢖͍ํ ੬ऑੑ਍அۀ຿Λ௨ͯ͠ಘͨؾ͖ͮ ਍அ͸όά୳͠Ͱ͸ͳ͘ϦεΫ୳͠ ϢʔβʔετʔϦʔΛߟ͑ͯΈΔ Ϣʔβʔ ߈ܸऀͰΑΓ҆શʹ