Slide 1
Slide 1 text
プロダクトセキュリティチーム立上げにおける
Vulsの活用
株式会社ウエディングパーク
奥野 健一
2019.06.17 Vuls祭り#5
Slide 2
Slide 2 text
Agenda
1. 自己紹介
2. Vulsの導入経緯
3. Vulsの導入
4. Vulsの実用途
5. まとめ
Slide 3
Slide 3 text
自己紹介
Slide 4
Slide 4 text
奥野 健一
@okuken3
情報系の修士卒
SIer、業務パッケージベンダーを経て
2018年12月
株式会社ウエディングパーク 入社
プロダクトセキュリティチーム立上げ
Slide 5
Slide 5 text
株式会社
ウエディングパーク
式場探しの決めてが見つかる
クチコミサイト「ウエディングパーク」
をはじめとする、結婚にまつわる
WEBサービスの企画・運営
Slide 6
Slide 6 text
サービスラインナップ
Slide 7
Slide 7 text
No.1 Bridal Tech Team By→20
“2020年までに
ブライダル業界でNo.1の技術者集団になろう”
社外向け勉強会
https://weddingpark.connpass.com/
技術ブログ
https://engineers.weddingpark.co.jp/
Slide 8
Slide 8 text
なぜウエパがVuls祭りに？
Slide 9
Slide 9 text
2019年4月某日
↑技術広報 Sさん
Slide 10
Slide 10 text
enjoy!インハウス、
たくさんの人に
来て欲しいの！
https://weddingpark.connpass.com/
Slide 11
Slide 11 text
まいったなぁ…
登壇も初めてだし、
セキュリティ界隈の
知り合いも少ないし
何か良い手は…
Slide 12
Slide 12 text
キーワードをたくさんいれる
とイイらしいですよ！
Slide 13
Slide 13 text
・・・
Slide 14
Slide 14 text
キーワード
・・・か
Slide 15
Slide 15 text
・・・・・
Slide 16
Slide 16 text
脆
弱
性
診
断
Vuls
Burp Suite
サイバー脅威インテリジェンス
SCAP
C
V
E
ISMS
JPCERT/CC
CSIRT
Metasploit
W
A
F
IDS/IPS
NVD
JVN
SIEM
NIST
Mitre
Nmap
SOC
ペネトレーションテスト
EDR
OWASP
JNSA
Vuls
Burp Suite
C
V
E
JPCERT/CC
OWASP
Slide 17
Slide 17 text
無事、盛況でした!
Slide 18
Slide 18 text
No content
Slide 19
Slide 19 text
No content
Slide 20
Slide 20 text
https://vuls-jp.connpass.com/event/131960/
Vuls祭り#5 登壇決定！
Who’s Using This? に掲載！
https://vuls.io/
感激パ…！
Slide 21
Slide 21 text
Vulsの導入経緯
Slide 22
Slide 22 text
プロダクトセキュリティチームの立上げ
・ 企業規模の拡大に合わせて、
プロダクトセキュリティ専門チームを立上げ
・ 脆弱性診断の一部内製化が最初のミッション
Slide 23
Slide 23 text
脆弱性診断の一部内製化
・ 外部のセキュリティ事業者による定期診断は継続
・ 一部の診断を内製化することで、以下を達成する
- ノウハウの蓄積
- ホワイトボックス観点での診断
- 柔軟なスケジューリング
Slide 24
Slide 24 text
レイヤー毎の診断ツール
レイヤー 自動診断 手動診断 診断ツール
WEBアプリケーション 〇 〇 Burp Suite
フレームワーク / ライブラリ 〇 - Vuls
プログラミング言語 〇 - Vuls
ミドルウェア 〇 - Vuls
OS 〇 - Vuls
サーバー（ハードウェア） 〇 - Vuls
ネットワーク 〇 〇 Nmap
あくまで手始めパ！
アプリケーション診断
プラットフォーム診断
Slide 25
Slide 25 text
Vulsの選定理由
・ プラットフォーム診断の手始めとして
- 既知の危険な脆弱性を含むバージョンを使用していないかのチェックから始める
(攻撃を伴うプラットフォーム診断の内製化（OpenVAS等を使用）は次の一手)
・ Vulsの魅力
- 高い検知精度（複数の脆弱性情報源による）
- エージェントレス
- 国産で勢いのあるOSS
Slide 26
Slide 26 text
Vulsの導入
Slide 27
Slide 27 text
構成
CVE 等
⑤詳細確認
(VulsRepo)
①日次フェッチ
④日次差分通知
③日次レポート
②日次スキャン
・・・
Slide 28
Slide 28 text
Vuls導入
・導入手順（公式）
https://vuls.io/docs/ja/install-manually-centos.html
https://vuls.io/docs/ja/vulsrepo.html
⇒ dep ensure -update で解消
⇒ 下記の削除で解消
$GOPATH/pkg/dep
$GOPATH/pkg/linux_amd64/github.com/golang/dep
$GOPATH/pkg/linux_amd64/github.com/golang/dep.a
・ go-exploitdb の make install でエラー
（dep ensure で “failed to export～”）
・ vuls の make install でエラー
（dep ensure で “Failed to write～”）
Slide 29
Slide 29 text
ほんの少しOSS貢献
・ VulsRepoに脆弱性が表示されない不具合
- cpe指定で検出されたもの全てが対象
- エラーではなくスルーなので致命的
- 諸事情で、弊社の主たる用途はcpe指定
⇒ 必要に迫られて自ら改修！
★Vulsのレポートのデータ構造は変化しがち（らしい）
https://github.com/usiusi360/vulsrepo/pull/71
Slide 30
Slide 30 text
Vulsの実用途
Slide 31
Slide 31 text
脆弱性スキャン
１．PHPやLaravel等の脆弱性情報チェック(※１)
- 基本的に、cpe直指定 かつ type="pseudo"でスキャン(※２)
- 弊社ではサービス毎に使用バージョンが異なるので、該当バージョンを全て列挙
（※１：この要件だけなら他にもツールはあるが、Vulsに一本化したかった。）
（※２：PHPもcpe直指定なのは、弊社諸事情でパッケージマネージャ管理にできていないため。
ちなみに、簡易なスクリプトにて自動でバージョン情報を収集しています。）
２．OSの定期セキュリティアップデートの前後で、該当CVE数の減少を確認
今後はもっと活用して
いきたいパよ！
Slide 32
Slide 32 text
脆弱性情報対応MTG(週次/臨時)
・ 各サービスのシステム責任者を集め、脆弱性情報を連携
- Vulsで検出したLaravelやPHPの脆弱性を中心として
- CVEをプロダクトセキュリティチームで咀嚼して説明
・ サービス毎に影響有無を確認し、対応要否・スケジュールを検討
- 対応方針、対応結果のレビュー
Slide 33
Slide 33 text
まとめ
Slide 34
Slide 34 text
まとめ
・ プロダクトセキュリティチーム立上げ、脆弱性診断の一部内製化
・ プラットフォーム診断ツールの一翼としてVuls導入、日次スキャン
・ Vulsで検出したCVEに解釈を添えて、システム責任者に連携、対応
キーワードの詰め込み
は恥だが役に立つパ！
Slide 35
Slide 35 text
ご清聴ありがとうございました！