OWT2017JP - OWASP SAMM - Speaker Deck

OWT2017JP - OWASP SAMM

by OWASP Japan

Slide 1

Slide 1 text

開発プロジェクトの現状を把握する OWASP SAMM の活用 Akitsugu Ito（@springmoon6）

Slide 2

Slide 2 text

自己紹介 • Akitsugu Ito（@springmoon6） • サイボウズ株式会社 CSIRT PoC • OWASP 関連のスライド Management for Security Life Cycle https://speakerdeck.com/owaspjapan/management-for-security-life- cycle-number-appsecapac2014 OWASP Project 使ってみた https://www.slideshare.net/akitsuguito/owasp-project

Slide 3

Slide 3 text

Agenda • OWASP SAMM って？ • １２のセキュリティ対策と OWASP 成果物 • 適用事例 • まとめ

Slide 4

Slide 4 text

OWASP SAMM って？

Slide 5

Slide 5 text

要件定義設計・開発テスト運用・保守 ① 要件定義 OWASP Top 10 Project ② 設計・開発 OWASP Proactive Controls OWASP Application Security Verification Standard (ASVS) OWASP Cheat Sheet Series OWASP Security Shepherd ③ テスト OWASP Zed Attack Proxy OWASP Testing Project（OWASP Testing Guide etc..） OWASP Offensive Web Testing Framework (OWTF) ④ 運用・保守 OWASP ModSecurity Core Rule Set Project OWASP APPSensor OWASP CSRFGuard Project OWASP Dependency Check

Slide 6

Slide 6 text

Slide 7

Slide 7 text

OWASP SAMM • OWASP Software Assurance Maturity Model • より成熟したセキュア開発を行うことを支援するドキュメント https://www.jpcert.or.jp/securecoding_materials.html（日本語：v1.0） https://www.owasp.org/index.php/OWASP_SAMM_Project （英語：v1.5）

Slide 8

Slide 8 text

特徴 – 定量化・可視化開発プロジェクトのセキュリティ成熟度を定量化・可視化し現状を把握できる NISTIR-8151 Dramatically Reducing Software Vulnerabilities 3.2 Software Assurance: The Object of Software Measures http://nvlpubs.nist.gov/nistpubs/ir/2016/NIST.IR.8151.pdf A=f(p, s, e) A: ソフトウェアセキュリティ保証の価値 p: 開発プロセス s: セキュリティテスト e: 実行環境

Slide 9

Slide 9 text

特徴 – 継続改善現状把握目標設定計画立案実施一定の期間ごとに上記を繰り返すことでセキュリティ品質の改善に繋がる

Slide 10

Slide 10 text

文書構成

Slide 11

Slide 11 text

プロジェクトメンバー Developers Business Owners QA Testers Architects Managers Security Auditor Support / Operators

Slide 12

Slide 12 text

ビジネス機能開発プロセスにおける主要なビジネス機能を４つに整理ガバナンス構築（設計・開発）検証運用

Slide 13

Slide 13 text

セキュリティ対策ビジネス機能ごとに３つのセキュリティ対策を定義戦略・指標ポリシー・コンプライアンス教育・指導脅威の査定セキュリティ要件セキュアなアーキテクチャ設計レビュー実装レビューセキュリティテスト課題管理環境の堅牢化運用体制のセキュリティ対応

Slide 14

Slide 14 text

セキュリティ対策の例定量的な指標の例期待結果コスト

Slide 15

Slide 15 text

現状把握 - アセスメント Tool-box の活用ヒアリング計画を立てることが重要プロジェクト体制を把握し、ヒアリング項目・対象を決める

Slide 16

Slide 16 text

アセスメント項目ガバナンス構築検証運用 Manager 18 19 19 19 Architect 20 14 19 13 Security Auditor 12 19 17 8 Business Owners 16 17 8 11 Developers 11 10 19 10 QA Testers 7 7 Support Operators 14

Slide 17

Slide 17 text

成熟度の可視化（１）

Slide 18

Slide 18 text

成熟度の可視化（２）

Slide 19

Slide 19 text

目標設定～実施

Slide 20

Slide 20 text

１２のセキュリティ対策と OWASP 成果物

Slide 21

Slide 21 text

Slide 22

Slide 22 text

OWASP 成果物への参照 • セキュリティ対策を推進するうえで役に立つ OWASP ドキュメントへの参照が OWASP SAMM の中には記載されていない • 下記の条件で成果物への導線をまとめる – OWASP Project Inventory に登録されている公式プロジェクト – 日本のローカルチャプターから公開されている成果物

Slide 23

Slide 23 text

戦略・指標（SM）組織内でセキュリティ保証プログラムを確立する OWASP SAMM を活用することロードマップの策定リスク評価の実施セキュリティ支出の算出

Slide 24

Slide 24 text

ポリシー・コンプライアンス（PC）組織のビジネス目的に合致した方法でコンプライアンスを確保 Policy Frameworks（OWASP Guide Project / OWASP Developer Guide） https://www.owasp.org/index.php/Policy_Frameworks （旧） https://github.com/OWASP/DevGuide/blob/master/01- Foundations/02-Policies%2C%20Standards%20and%20Guidelines.md ガバナンスとコンプライアンスベースラインの確立セキュリティ監査の実施

Slide 25

Slide 25 text

教育・指導（EG）ソフトウェアライフサイクルに携わる人材を育成する OWASP Education Project https://www.owasp.org/index.php/Category:OWASP_Educ ation_Project 教育の機会資料の提供セキュリティ教育の実施習熟度を認証する

Slide 26

Slide 26 text

脅威の査定（TA） Application Threat Modeling （OWASP Guide Project / Cheat Sheet ） https://www.owasp.org/index.php/Application_Threat_Modeling（旧） https://www.owasp.org/index.php/Threat_Modeling_Cheat_Sheet ソフトウェアの機能と特性に基づきプロジェクトのリスクを把握脅威・攻撃者の理解・文書化脅威分析脅威と保護機能の関連付け

Slide 27

Slide 27 text

セキュリティ要件（SR） OWASP ASVS https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verificatio n_Standard_Project Webシステム／Webアプリケーションセキュリティ要件書 2.0 https://github.com/ueno1000/secreq ソフトウェアのセキュリティ要件を策定する要件検討からセキュリティを考慮リスク分析に応じて要件を調整セキュリティ要件の監査

Slide 28

Slide 28 text

セキュアなアーキテクチャ（SA） OWASP Proactive Controls https://www.owasp.org/index.php/OWASP_Proactive_Controls プロアクティブに安全なソフトウェアを構築するための仕組み設計プロセスにセキュリティを組み込む設計パターンをプロジェクトに提供再利用可能なコンポーネントの利用と検査

Slide 29

Slide 29 text

デザインレビュー（DR） Application Security Architecture Cheat Sheet https://www.owasp.org/index.php/Application_Security_A rchitecture_Cheat_Sheet セキュリティ問題に対するソフトウェアとアーキテクチャの評価レビュープロセスにセキュリティを組み込む設計レビュープロセスの策定レビュープロセスに従ったアセスメント実施

Slide 30

Slide 30 text

実装レビュー（IR） OWASP Code Review Project https://www.owasp.org/index.php/Category:OWASP_Code_Review_Project Secure Coding Cheat Sheet https://www.owasp.org/index.php/Secure_Coding_Cheat_Sheet ソフトウェアのセキュリティをソースコードと構成レベルで検査コードレビューの実施自動コード解析ツールの利用コードレビュー合格基準の策定

Slide 31

Slide 31 text

セキュリティテスト（ST）脆弱性診断士スキルマッププロジェクト https://www.owasp.org/index.php/Category:OWASP_Applicatio n_Security_Verification_Standard_Project ランタイム環境におけるソフトウェアのセキュリティテストテスト実施プロセスの構築自動テストツールの利用アプリケーション固有のテスト実施

Slide 32

Slide 32 text

課題管理（IM） OWASP Incident Response Project https://www.owasp.org/index.php/OWASP_Incident_Resp onse_Project インシデント報告や対応に関する組織内のプロセス報告窓口やインシデント対応チームの理解インシデント対応プロセスの理解定量データを用いたプロセス改善

Slide 33

Slide 33 text

環境の堅牢化（EH） OWASP Dependency Check https://www.owasp.org/index.php/OWASP_Dependency_Check OWASP Security Operations Center (SOC) Framework Project https://www.owasp.org/index.php/OWASP_Security_Operations_Center_ (SOC)_Framework_Project ソフトウェアが稼働する運用基盤をセキュアに構築する運用環境のベースラインを理解運用の堅牢化自動化の推進ベストプラクティスを用いて運用環境を検証

Slide 34

Slide 34 text

運用体制のセキュリティ対応（OE） OWASP SAMM のアセスメント項目を Cheat sheet として活用良いプロジェクトがあれば教えてください！ソフトウェアのセキュリティ情報を収集し情報発信する開発・運用間の連絡体制の構築手順書の伝達と変更管理運用環境の検証

Slide 35

Slide 35 text

活用事例

Slide 36

Slide 36 text

OWASP SAMM との出会い • OWASP Japan Local Chapter Meeting – https://owasp.doorkeeper.jp/events/58340 https://www.slideshare.net/okdt/owasp-samm

Slide 37

Slide 37 text

No content

Slide 38

Slide 38 text

活用例アドバイス集作成情報提供プロジェクトの可視化工数小工数大

Slide 39

Slide 39 text

アドバイス集の作成アセスメント項目ごとに参考になるドキュメントを収集

Slide 40

Slide 40 text

タイムリーな情報提供（１） Web ページを作成する際の JavaScript 利用に関するルールを緩和したい。利便性を維持しながらリスクを軽減できるように議論させてください。こんな資料があります。安全な Web サイトの作り方 3rd Party Javascript Management Cheat Sheeｔ

Slide 41

Slide 41 text

タイムリーな情報提供（２）お客様から質問を受けています。開発活動は文書化されたセキュアなシステム開発手法（セキュリティ要件の定義およびテストを含む）に基づき、遂行されていますか？ OWASP ASVS を用いてサービスのセキュリティ要件を精査し、セキュリティ要件に関する標準への適合性確認を進めています。 https://www.slideshare.net/akitsuguito/owasp-project

Slide 42

Slide 42 text

新規プロジェクトへの情報提供新たにサービスをリリースするチームが認証を取得するにあたり事前準備が必要となる項目を具体的な活動内容と併せて伝達戦略・指標セキュリティ要件セキュリティテスト課題管理運用体制のセキュリティ対応

Slide 43

Slide 43 text

情報提供例（運用） • 日時確認タスクの実施方法（ログの監視など） • パッチの適用プロセス（全社基準との差異など） • 自動適用の有無（パッチマネージャーの利用など） • 追加のセキュリティ緩和策の有無（WAF / IDS etc..） • 外部監査の実施頻度（運用環境） • 変更管理データベースの運用 • リハーサルについて（実施基準とコミュニケーション） • 鍵管理について

Slide 44

Slide 44 text

情報提供例（開発） • 機能一覧に関する文書 • セキュリティ機能一覧に関する文書 • 運用基盤以外に利用しているサードパーティコンポーネントの把握 • コードレビューの実施状況 • ログ管理の実装状況 • 監視すべきアラートやエラーに関する文書 • 文書の更新体制

Slide 45

Slide 45 text

開発プロジェクトの定量化の試み作成したツールキットのアウトプットを元に、現在のプロジェクトの状況を可視化現在の課題の把握と今後の目標について議論

Slide 46

Slide 46 text

あるプロジェクトの現状（Pros）これまで PSIRT が力を入れてきた領域や、オペレーションチームが対応してきた領域は成熟している

Slide 47

Slide 47 text

あるプロジェクトの現状（cons）プロジェクト間を横断して統一された観点に基づいたセキュリティ対策を導入する点に課題がある

Slide 48

Slide 48 text

ロードマップテンプレートの活用業種別にロードマップ策定用のテンプレートが存在ソフトウェアベンダー（独立系）サービスプロバイダ金融サービス政府組織テンプレートを元に各組織に適合するようにカスタマイズすることでロードマップ作成時のコスト削減

Slide 49

Slide 49 text

まとめ

Slide 50

Slide 50 text

OWASP SAMM • 成熟したセキュア開発を行うことを支援 • ７つのプロジェクト関係者を定義 • ４つのビジネス機能、１２のセキュリティ対策で構成ソフトウェアセキュリティ保証成熟度モデル • プロジェクトへの情報提供 • 開発プロジェクトの定量化活用事例様々なプロジェクトに参加しませんか！