Slide 1

Slide 1 text

08"41'VLVTIJNB/JHIU ʮ৘ใηΩϡϦςΟ̍̌େڴҖʯΛಡΈղ͘  αΠόʔ߈ܸ͔ΒϏδωεΛकΔͨΊʹɺ͍·Կ͕ٻΊΒΕ͍ͯΔ͔  ೥݄೔ Ր ओ࠵08"41'VLVTIJNB ձ৔ఏڙ᷂ &ZFT +"1"/ձ௡ΦϑΟε

Slide 2

Slide 2 text

2 ొஃऀ঺հ • *5ϕϯνϟʔ ձ௡एদ ͷ࠷ߴࣥߦ੹೚ऀ • /55υίϞ ΞΫηϯνϡΞΛܦͯݱ৬ • ϛογϣϯΫϦςΟΧϧྖҬͷ1.ʹैࣄ • ΠϯγσϯτରԠڝٕձʮ)BSEFOJOH 1SPKFDUʯʹ೥ॳग़৔͠ೖ৆ • σʔλαΠΤϯεؔ࿈ͷΦϯϥΠϯαϩϯ ʮσʔλϥʔχϯάΪϧυʯͷӡӦʹࢀը ౻প ३Ұ ਅਫ ݈հ • *5ϕϯνϟʔ ձ௡एদ ͷ࠷ߴٕज़੹೚ऀ • ձ௡େֶଔۀޙɺαʔόσʔλϕʔεߏங  όοΫΤϯυϑϩϯτΤϯυ։ൃΛ͜ͳ͢ ϑϧελοΫΤϯδχΞͱͳΓݱ৬ • ৽ׁࡏॅͷϑϧλΠϜϦϞʔτϫʔΧʔ • ΠϯγσϯτରԠڝٕձʮ)BSEFOJOH 1SPKFDUʯͰ༏উܦݧ͋Γ © 2020 OWASP Fukushima

Slide 3

Slide 3 text

3 © 2020 OWASP Fukushima 08"41ʢΦϫεϓʣͱ͸ʁ 08"41 0QFO8FC"QQMJDBUJPO4FDVSJUZ1SPKFDUͱ͸ɺ8FCΛ͸͡Ίͱ͢ Διϑτ΢ΣΞͷηΩϡϦςΟ؀ڥͷݱঢ়ɺ·ͨηΩϡΞͳιϑτ΢ΣΞ։ൃΛଅ ਐ͢Δٕज़ɾϓϩηεʹؔ͢Δ৘ใڞ༗ͱීٴܒൃΛ໨తͱͨ͠ϓϩϑΣογϣφ ϧͷू·ΔɺΦʔϓϯιʔεɾιϑτ΢ΣΞίϛϡχςΟͰ͢ɻ5IF08"41 'PVOEBUJPO͸ɺ/10ஂମͱͯ͠શੈքͷ08"41ͷ׆ಈΛࢧ͍͑ͯ·͢ɻ 08"41+BQBOνϟϓλʔ͸ɺट౎ݍͷΈͳΒͣɺࠃ಺શҬʹ͓͍ͯɺνϟϓλʔ ͷͳ͍஍ҬͰͷීٴܒൃɺ஍ํϩʔΧϧνϟϓλʔࢧԉཁ੥ରԠͳͲɺશࠃͰͷη ΩϡϦςΟܒൃ׆ಈΛߦͳ͍ͬͯ·͢ɻ·ͨɺ຋༁ϓϩδΣΫτɺ։ൃϓϩδΣΫ τɺܒൃͷͨΊͷΠϕϯτͳͲʹΑΓɺάϩʔόϧͷίϛϡχςΟͱ࿈ܞ͍ͯ͠· ͢ɻ·ͨɺ੓෎ɾߦ੓ػؔɺڭҭػؔɺاۀɾஂମͳͲͱͷ࿈ܞͳͲͷཁ੥ʹ΋ੵ ۃతʹରԠ͍ͯ͠·͢ɻͲͷ஍Ҭʹ͓ॅ·͍ͷํ΋͝ࢀՃ͍͚ͨͩ·͢ɻ  08"41+BQBOνϟϓλʔ8FCαΠτΑΓ IUUQTXXXPXBTQPSHJOEFYQIQ+BQBO

Slide 4

Slide 4 text

1 2 3 ৘ใηΩϡϦςΟΛΊ͙Δݱঢ় *1"ʮ৘ใηΩϡϦςΟେڴҖʯʹ͍ͭͯ ਎ۙʹ࣮ફͰ͖Δରࡦ 4 4 ΞδΣϯμ © 2020 OWASP Fukushima 5 ࣭ٙԠ౴ ΠϯγσϯτରԠڝٕձʮ)BSEFOJOH1SPKFDUʯͷ͝঺հ

Slide 5

Slide 5 text

৘ใηΩϡϦςΟΛΊ͙Δݱঢ়

Slide 6

Slide 6 text

̍͜͜೥Ͱ࿩୊ʹͳͬͨ ৘ใηΩϡϦςΟʹؔ͢Δχϡʔε ͋ͳͨ͸͍ͭ͘ݴ͑·͔͢ʁ

Slide 7

Slide 7 text

7 ʮ୐;͍͊Δศʯʹͯສ݅ͷݸਓ৘ใ͕ྲྀग़ɺαʔϏεऴྃ΁ © 2020 OWASP Fukushima 4DBO/FU4FDVSJUZΑΓൈਮ ೔ܦ৽ฉΑΓൈਮ

Slide 8

Slide 8 text

8 ԯ݅Λ௒͑Δ'BDFCPPLϢʔβ৘ใ͕ެ։ঢ়ଶʹ © 2020 OWASP Fukushima *OUFSOFU8BUDIΑΓൈਮ

Slide 9

Slide 9 text

QBZެࣜ΢ΣϒαΠτΑΓൈਮ 9 QBZʢηϒϯϖΠʣͷෆਖ਼ΞΫηε © 2020 OWASP Fukushima αʔϏε։࢝௚ޙʹෆਖ਼ར༻͕ଟൃɻඃ֐ऀ਺ɿ໿ ਓ ඃ֐ֹɿ໿ ສԁɻ Θ͔͔݄ͣ̏ͰαʔϏεΛऴྃͤ͞Δࣄଶʹɻ

Slide 10

Slide 10 text

ϠϚτӡ༌ެࣜ΢ΣϒαΠτΑΓൈਮ 10 Ϋϩωίϝϯόʔζ΁ͷෆਖ਼ϩάΠϯ © 2020 OWASP Fukushima ݅ͷෆਖ਼ϩάΠϯ͕ൃੜɻॅॴɾࢯ໊౳ͷొ࿥৘ใ͕ྲྀग़ͨ͠Մೳੑ͋Γɻ

Slide 11

Slide 11 text

11 ̨̨̣౤ߘࣸਅͷಏʹࣸͬͨܠ৭͔Βॅॴಛఆ © 2020 OWASP Fukushima ౦ژ৽ฉ΢ΣϒαΠτΑΓൈਮ

Slide 12

Slide 12 text

12 ਆಸ઒ݝிͰར༻͞Ε͍ͯͨ)%%Λॲ෼ձࣾͷࣾһ͕సച © 2020 OWASP Fukushima ਆಸ઒ݝொ΢ΣϒαΠτΑΓൈਮ ೔ܦϏδωεΑΓൈਮ

Slide 13

Slide 13 text

13 ࡾඛిػ΁ෆਖ਼ΞΫηεɺػີ৘ใྲྀग़ͷՄೳੑ © 2020 OWASP Fukushima ࡾඛిػެࣜ΢ΣϒαΠτΑΓൈਮ

Slide 14

Slide 14 text

͘͞ΒΠϯλʔωοτެࣜ΢ΣϒαΠτΑΓൈਮ 14 © 2020 OWASP Fukushima ๺ւಓશҬͷఀిʹΑΓɺ೔ຊ࠷େखͷϗεςΟϯάࣄۀऀ͕ੴङʹ࣋ͭσʔλη ϯλʔ͕ඇৗ༻ిݯͰͷՔಇΛ༨ّͳ͘͞ΕΔࣄଶʹɻ݁Ռͱͯ͠େ͖ͳαʔϏε Өڹ͸໔Ε͕ͨ׭ެி΍ֶज़ػؔͷαʔϏε͕ਙେͳӨڹΛड͚ΔՄೳੑ΋͋ͬͨɻ ๺ւಓ୾ৼ౦෦஍਒ʹΑΔσʔληϯλʔ΁ͷӨڹൃੜʢ೥ʣ िץΞεΩʔ΢ΣϒαΠτΑΓൈਮ

Slide 15

Slide 15 text

15 ೔ຊ೥ۚػߏ΁ෆਖ਼ΞΫηεɺສ݅ͷݸਓ৘ใ͕ྲྀग़ʢ೥ʣ © 2020 OWASP Fukushima ްੜ࿑ಇল΢ΣϒαΠτΑΓൈਮ QJZPMPHʮ೔ຊ೥ۚػߏͷ৘ใ࿙͍͑ʹ͍ͭͯ·ͱΊͯΈͨʯΑΓൈਮ

Slide 16

Slide 16 text

ܦࡁ࢈ۀল )ߏ଄վֵపఈਪਐձ߹ ୈճࢿྉΑΓൈਮ 16 ࣾձΠϯϑϥʹର͢ΔαΠόʔ߈ܸ΋ൃੜʢ̍ʗ̏ʣ © 2020 OWASP Fukushima

Slide 17

Slide 17 text

17 ࣾձΠϯϑϥʹର͢ΔαΠόʔ߈ܸ΋ൃੜʢ̎ʗ̏ʣ © 2020 OWASP Fukushima

Slide 18

Slide 18 text

18 ࣾձΠϯϑϥʹର͢ΔαΠόʔ߈ܸ΋ൃੜʢ̏ʗ̏ʣ © 2020 OWASP Fukushima

Slide 19

Slide 19 text

19 ւ֎Ͱ͸΄΅શࠃຽͷݸਓ৘ใ͕ྲྀग़͢Δ૽͗΋ © 2020 OWASP Fukushima

Slide 20

Slide 20 text

ݸਓɾ๏ਓ໰Θͣ ʮૂΘΕΔͷ͕౰ͨΓલʯͳ࣌୅

Slide 21

Slide 21 text

ʮૂΘΕͳ͍΄͏͕௝͍͠ʯ ͱݴͬͯ΋աݴͰ͸ͳ͍

Slide 22

Slide 22 text

ʮૂΘΕ͍ͯΔʯͱ͍͏͕֮ࣗͳ͍ͷ͸ ߈ܸʹؾ͍͍ͮͯͳ͍͚ͩ

Slide 23

Slide 23 text

ηΩϡϦςΟରࡦ͸ňಛผͳߦ͍ʼnͰ͸ͳ͘ɺ ň೔ৗతͳश׳ʼnͱଊ͑Δ΂͖

Slide 24

Slide 24 text

৺਎ͷ݈߁ରࡦͱಉ͘͡ɺৗ೔ࠒ͔Β ʮ܏޲ͱରࡦʯΛҙࣝ͢Δ͜ͱ͕େࣄ

Slide 25

Slide 25 text

ʮ܏޲ͱରࡦʯΛֶͿʹ͸Ͳ͏͢Δ͔ʁ

Slide 26

Slide 26 text

*1"ʮ৘ใηΩϡϦςΟେڴҖʯʹ͍ͭͯ

Slide 27

Slide 27 text

27 ৘ใηΩϡϦςΟେڴҖ  © 2020 OWASP Fukushima ৘ใηΩϡϦςΟେڴҖ ͱ͸ ೥ʹൃੜͨࣾ͠ձతʹӨڹ͕େ͖͔ͬͨ ͱߟ͑ΒΕΔ৘ใηΩϡϦςΟʹ͓͚ΔࣄҊ͔ Βɺ*1"͕ڴҖީิΛબग़͠ɺ৘ใηΩϡϦ ςΟ෼໺ͷݚڀऀɺاۀͷ࣮຿୲౰ऀͳͲ໿ ໊ͷϝϯόʔ͔ΒͳΔʮେڴҖબߟձʯ ͕ڴҖީิʹରͯ͠৹ٞɾ౤ථΛߦ͍ɺܾఆ͠ ͨ΋ͷͰ͢ɻ IUUQTXXXJQBHPKQTFDVSJUZWVMOUISFBUTIUNMΑΓ ը૾͸೥൛

Slide 28

Slide 28 text

28 ৘ใηΩϡϦςΟେڴҖ  © 2020 OWASP Fukushima ࡢ೥ ॱҐ ݸਓ ॱҐ ૊৫ ࡢ೥ ॱҐ /&8 εϚϗܾࡁͷෆਖ਼ར༻ Ґ ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ Ґ Ґ ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ Ґ ಺෦ෆਖ਼ʹΑΔ৘ใ࿙͍͑ Ґ Ґ ΫϨδοτΧʔυ৘ใͷෆਖ਼ར༻ Ґ Ϗδωεϝʔϧ࠮ٗʹΑΔۚમඃ֐ Ґ Ґ ΠϯλʔωοτόϯΩϯάͷෆਖ਼ར༻ Ґ αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ Ґ Ґ ϝʔϧ΍4.4౳Λ࢖ͬͨڴഭɾ࠮ٗͷ खޱʹΑΔۚમཁٻ Ґ ϥϯαϜ΢ΣΞʹΑΔඃ֐ Ґ Ґ ෆਖ਼ΞϓϦʹΑΔεϚʔτϑΥϯར༻ ऀ΁ͷඃ֐ Ґ ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ Ґ Ґ ωοτ্ͷ඄ᨱɾதইɾσϚ Ґ ෆ஫ҙʹΑΔ৘ใ࿙͍͑ʢنଇ͸९कʣ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ ϩάΠϯ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸਓ ৘ใͷ઄औ Ґ Ґ ِܯࠂʹΑΔΠϯλʔωοτ࠮ٗ Ґ *P5ػثͷෆਖ਼ར༻ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸ ਓ৘ใͷ઄औ Ґ αʔϏε๦֐߈ܸʹΑΔαʔϏεͷఀࢭ Ґ

Slide 29

Slide 29 text

29 ݸਓฤ̍Ґ © 2020 OWASP Fukushima εϚϗܾࡁͷෆਖ਼ར༻ ඃ֐ͷྫʢ̍ʣ ѱҙͷ͋ΔୈࡾऀʹεϚϗܾࡁͷΞΧ΢ϯτΛ৐ͬऔΒΕɺ উखʹ঎඼Λߪೖ͞ΕΔɻ ߈ܸͷखޱ • ϑΟογϯά࠮ٗʹΑͬͯೖखɺ͋Δ͍͸ύεϫʔυ࢖͍ճ͍ͯͨ͠ผͷ αʔϏε͔Β࿙Ӯͨ͠৘ใΛѱ༻͠ɺଞਓʹͳΓ͢·ܾͯ͠ࡁΞϓϦʹ ෆਖ਼ϩάΠϯ͠ɺ঎඼Λߪೖ͢Δɻ

Slide 30

Slide 30 text

30 ݸਓฤ̍Ґ © 2020 OWASP Fukushima εϚϗܾࡁͷෆਖ਼ར༻ ඃ֐ͷྫʢ̎ʣ 23ίʔυܾࡁʹ͓͍ͯɺళฮʹܝࣔ͞Ε͍ͯΔ23ίʔυΛ ಡΈऔͬͯࢧ෷ͬͨΒɺશ͘ผͷୈࡾऀʹૹۚ͞Εͨɻ ߈ܸͷखޱ • Կऀ͔͕ࢧ෷ઌͷ23ίʔυΛِ଄͠ɺຊདྷͷࢧ෷ઌ23ίʔυͷ্ʹ షΓ෇͚Δ͜ͱͰɺച্͕ۚୈࡾऀͷޱ࠲ʹૹۚ͞Ε͍ͯͨɻ

Slide 31

Slide 31 text

31 ݸਓฤ̍Ґ © 2020 OWASP Fukushima εϚϗܾࡁͷෆਖ਼ར༻ ରࡦ • ϑΟογϯά࠮ٗ΁ͷରࡦΛऔΔɻ • ෆਖ਼ϩάΠϯ΁ͷରࡦΛऔΔɻ ʢ࣍Ҏ߱Ͱৄ͘͠͝આ໌ʣ • ܾࡁαʔϏεͷར༻ཤྺɺ࿈ܞ͢Δۜߦޱ࠲΍ΫϨδοτΧʔυͷऔҾ໌ࡉ Λ͜·Ίʹ఺ݕ͠ɺෆ৹ͳه࿥͕͋Ε͹૬ஊ૭ޱʹ໰͍߹ΘͤΔɻ

Slide 32

Slide 32 text

32 ݸਓฤ̎Ґ © 2020 OWASP Fukushima ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ ඃ֐ͷྫ ۚ༥ػؔ΍༗໊اۀΛ૷ِͬͨͷ΢ΣϒαΠτ΁༠ಋ͠ɺ *%΍ύεϫʔυ౳ͷݸਓ৘ใΛೖྗͤͯ͞઄औ͢Δɻ ߈ܸͷखޱɿِͷαΠτʹ৘ใΛೖྗͤͯ͞઄औ • ༗໊اۀΛ૷ͬͯɺϑΟογϯάαΠτ΁ͷϦϯΫ͕هࡌ͞Εͨϝʔϧ΍ 4.4౳Λૹ৴͠ɺΞΫηεͤͨ͞αΠτͰར༻ऀ͕ೖྗͨ͠৘ใΛ઄औɻ • γεςϜ؅ཧऀ౳Λ૷ͬͯɺ૊৫಺Ͱར༻͢ΔαʔϏεͷϩάΠϯը໘Λ ໛ͨ͠ϖʔδͷϦϯΫΛهࡌͨ͠ϝʔϧΛඪత૊৫಺ʹ͹Β·͘ɻ

Slide 33

Slide 33 text

33 ݸਓฤ̎Ґ © 2020 OWASP Fukushima ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ ରࡦ • ඃ֐ͷ༧๷ • ड৴ϝʔϧ΍΢ΣϒαΠτͷे෼ͳ֬ೝ • ϝʔϧ಺ͷϦϯΫΛ҆қʹΫϦοΫ͠ͳ͍ • ඃ֐ͷૣظݕ஌ • ར༻͢ΔαʔϏεͷϩάΠϯཤྺͷ֬ೝ • ޱ࠲ɺΫϨδοτΧʔυɺΩϟϦΞܾࡁͷར༻ཤྺͷ֬ೝ • ඃ֐Λड͚ͨޙͷରԠ • ύεϫʔυͷ࠶ઃఆ • ΫϨδοτΧʔυͷఀࢭ • ৴པͰ͖Δػؔʹ૬ஊ͢Δ

Slide 34

Slide 34 text

34 ݸਓฤ̔Ґ © 2020 OWASP Fukushima Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ϩάΠϯ ඃ֐ͷྫ ར༻͍ͯ͠ΔαʔϏεͷೝূ৘ใʢ*%ɺύεϫʔυʣ͕઄औ·ͨ͸ਪଌ͞Εɺ ෆਖ਼ϩάΠϯ͞ΕΔɻαʔϏεͷػೳʹԠͯ͡ɺൃੜ͢Δඃ֐͸༷ʑɻ ߈ܸͷखޱɿෆਖ਼ʹೖखͨ͠ೝূ৘ใͰෆਖ਼ϩάΠϯ͢Δ • ύεϫʔυϦετ߈ܸ • ύεϫʔυਪଌ߈ܸ • ΢ΠϧεײછʹΑΔ઄औ

Slide 35

Slide 35 text

35 ݸਓฤ̔Ґ © 2020 OWASP Fukushima Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ϩάΠϯ ରࡦ • ඃ֐ͷ༧๷ • ύεϫʔυΛద੾ʹ؅ཧ͢Δɻʢ௕͘ɺෳࡶʹɻ࢖͍ճ͞ͳ͍ʣ ˠύεϫʔυ؅ཧιϑτͷར༻͕๬·͍͠ɻ • ೋஈ֊ೝূɺଟཁૉೝূํࣜΛར༻͢Δɻ • ෆ৹ͳ΢ΣϒαΠτͰ҆қʹೝূ৘ใΛೖྗ͠ͳ͍ɻ • ར༻ස౓͕௿͍αʔϏε΍ෆཁͳαʔϏεͷΞΧ΢ϯτ࡟আɻ • ඃ֐Λड͚ͨޙͷରԠ • લষͷରԠˍαʔϏεӡӦऀ΁࿈བྷ

Slide 36

Slide 36 text

36 ৘ใηΩϡϦςΟେڴҖ  © 2020 OWASP Fukushima ࡢ೥ ॱҐ ݸਓ ॱҐ ૊৫ ࡢ೥ ॱҐ /&8 εϚϗܾࡁͷෆਖ਼ར༻ Ґ ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ Ґ Ґ ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ Ґ ಺෦ෆਖ਼ʹΑΔ৘ใ࿙͍͑ Ґ Ґ ΫϨδοτΧʔυ৘ใͷෆਖ਼ར༻ Ґ Ϗδωεϝʔϧ࠮ٗʹΑΔۚમඃ֐ Ґ Ґ ΠϯλʔωοτόϯΩϯάͷෆਖ਼ར༻ Ґ αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ Ґ Ґ ϝʔϧ΍4.4౳Λ࢖ͬͨڴഭɾ࠮ٗͷ खޱʹΑΔۚમཁٻ Ґ ϥϯαϜ΢ΣΞʹΑΔඃ֐ Ґ Ґ ෆਖ਼ΞϓϦʹΑΔεϚʔτϑΥϯར༻ ऀ΁ͷඃ֐ Ґ ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ Ґ Ґ ωοτ্ͷ඄ᨱɾதইɾσϚ Ґ ෆ஫ҙʹΑΔ৘ใ࿙͍͑ʢنଇ͸९कʣ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ ϩάΠϯ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸਓ ৘ใͷ઄औ Ґ Ґ ِܯࠂʹΑΔΠϯλʔωοτ࠮ٗ Ґ *P5ػثͷෆਖ਼ར༻ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸ ਓ৘ใͷ઄औ Ґ αʔϏε๦֐߈ܸʹΑΔαʔϏεͷఀࢭ Ґ

Slide 37

Slide 37 text

37 ૊৫ฤ̍Ґ © 2020 OWASP Fukushima ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ ඃ֐ͷྫ ϝʔϧ౳ʹΑΓ1$Λ΢Πϧεʹײછͤ͞૊৫಺෦΁જೖɻ ௕ظʹΘͨͬͯ৵֐ൣғΛঃʑʹ޿͛ɺ૊৫ͷػີ৘ใΛ઄औ͢Δɻ ߈ܸͷखޱɿ΢Πϧεײછ΍ෆਖ਼ΞΫηεʹΑΓػີ৘ใΛ઄औ • ඪతܕ߈ܸϝʔϧʢఴ෇ϑΝΠϧɺϦϯΫʣɺ΢ΣϒαΠτվ᜵ • ૊৫͕ར༻͢ΔΫϥ΢υαʔϏεʹෆਖ਼ϩάΠϯˠࣾ಺γεςϜʹΞΫηε ˠࣾ಺γεςϜͷ1$Λ΢Οϧεײછͤ͞ɺػີ৘ใΛ઄औ

Slide 38

Slide 38 text

38 ૊৫ฤ̍Ґ © 2020 OWASP Fukushima ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ ରࡦ • ඃ֐ͷ༧๷ • ਝ଎͔ͭܧଓతʹରԠͰ͖Δ૊৫಺ମ੍ͷཱ֬ • ηΩϡϦςΟڭҭɺΠϯγσϯτ܇࿅ʹΑΔ৘ใϦςϥγʔͷ޲্ • ηΩϡΞͳγεςϜઃܭɺΞΫηε੍ޚ • ඃ֐ͷૣظݕ஌ • ωοτϫʔΫɺΤϯυϙΠϯτͷ؂ࢹ • ඃ֐Λड͚ͨޙͷରԠ • ਝ଎ͳใࠂɺӨڹௐ͓ࠪΑͼݪҼͷ௥ڀɺରࡦͷڧԽ

Slide 39

Slide 39 text

39 ૊৫ฤ̐Ґ © 2020 OWASP Fukushima αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ ඃ֐ͷྫ ੡඼ͷ੡଄ɺ෺ྲྀɺൢചͳͲͷҰ࿈ͷ঎ྲྀʹ͓͍ͯɺ ରࡦ͕؁͍૊৫͕߈ܸͷ଍͕͔Γͱͯ͠ૂΘΕɺ ֎෦ҕୗઌ૊৫͔Β৘ใ͕࿙Ӯ͢Δɻ ཁҼɿࣗ૊৫ͷΈ͕ηΩϡϦςΟରࡦΛߨͯ͡΋͕݀Ͱ͖Δ • αϓϥΠνΣʔϯΛద੾ʹબఆɺ؅ཧ͍ͯ͠ͳ͍ • ࠶ҕୗઌ΍࠶ʑҕୗઌͷ؅ཧ͸ࠔ೉

Slide 40

Slide 40 text

40 ૊৫ฤ̐Ґ © 2020 OWASP Fukushima αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ ରࡦ • ඃ֐ͷ༧๷ • ৴པͰ͖Δҕୗઌ૊৫ͷબఆ • ҕୗઌ૊৫ͷ؅ཧɺೲ඼෺ͷݕূ • ܖ໿಺༰ͷ֬ೝɺ࢓༷ͷ௨Γཤߦ͞Ε͍ͯΔ͔νΣοΫ • ඃ֐Λड͚ͨޙͷରԠ • ؔ܎૊৫΁ͷਝ଎ͳঢ়گใࠂ • Өڹௐ͓ࠪΑͼݪҼͷ௥ڀɺରࡦͷڧԽ

Slide 41

Slide 41 text

41 ૊৫ฤ̒Ґ © 2020 OWASP Fukushima ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ ඃ֐Λड͚Δഎܠ ϋʔυ΢ΣΞো֐΍ɺ஍਒ɺ߽ӍɺߑਫͷΑ͏ͳࣗવࡂ֐͸ɺ ༧૝Ͱ͖ͳ͍λΠϛϯάͰಥવൃੜ͠ɺۀ຿ఀࢭΛҾ͖ى͜ ͢ݪҼͱͳΔɻ ؅ཧऀ͕ޡͬͯॏཁσʔλΛ࡟আͯ͠͠·͏ͳͲɺ ਓҝతϛε΋ۀ຿ఀࢭͷݪҼͱͳΔɻ

Slide 42

Slide 42 text

42 ૊৫ฤ̒Ґ © 2020 OWASP Fukushima ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ ରࡦ • όοΫΞοϓ΍γεςϜͷೋॏԽͳͲɺো֐΍ࡂ֐ʹ උ͑ͨγεςϜઃܭΛߦ͏ɻ • खॱॻ΍ঝೝϓϩηεͷ੔උͳͲɺਓҝతϛεΛܰݮ Ͱ͖Δӡ༻ઃܭΛߦ͏ɻ • ϩάͷ؂ࢹ΍γεςϜͷࢮ׆؂ࢹΛߦ͍ɺҟৗΛਝ଎ʹݕ஌͢Δɻ • ޡૢ࡞ͷൃੜΛ༧๷͢ΔͨΊɺΞΧ΢ϯτ΍ݖݶΛద੾ʹ؅ཧ͢Δɻ

Slide 43

Slide 43 text

43 ৘ใηΩϡϦςΟେڴҖ ·ͱΊ © 2020 OWASP Fukushima ࡢ೥ ॱҐ ݸਓ ॱҐ ૊৫ ࡢ೥ ॱҐ /&8 εϚϗܾࡁͷෆਖ਼ར༻ Ґ ඪతܕ߈ܸʹΑΔػີ৘ใͷ઄औ Ґ Ґ ϑΟογϯάʹΑΔݸਓ৘ใͷ࠮औ Ґ ಺෦ෆਖ਼ʹΑΔ৘ใ࿙͍͑ Ґ Ґ ΫϨδοτΧʔυ৘ใͷෆਖ਼ར༻ Ґ Ϗδωεϝʔϧ࠮ٗʹΑΔۚમඃ֐ Ґ Ґ ΠϯλʔωοτόϯΩϯάͷෆਖ਼ར༻ Ґ αϓϥΠνΣʔϯͷऑ఺Λѱ༻ͨ͠߈ܸ Ґ Ґ ϝʔϧ΍4.4౳Λ࢖ͬͨڴഭɾ࠮ٗͷ खޱʹΑΔۚમཁٻ Ґ ϥϯαϜ΢ΣΞʹΑΔඃ֐ Ґ Ґ ෆਖ਼ΞϓϦʹΑΔεϚʔτϑΥϯར༻ ऀ΁ͷඃ֐ Ґ ༧ظͤ͵*5ج൫ͷো֐ʹ൐͏ۀ຿ఀࢭ Ґ Ґ ωοτ্ͷ඄ᨱɾதইɾσϚ Ґ ෆ஫ҙʹΑΔ৘ใ࿙͍͑ʢنଇ͸९कʣ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε΁ͷෆਖ਼ ϩάΠϯ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸਓ ৘ใͷ઄औ Ґ Ґ ِܯࠂʹΑΔΠϯλʔωοτ࠮ٗ Ґ *P5ػثͷෆਖ਼ར༻ Ґ Ґ Πϯλʔωοτ্ͷαʔϏε͔Βͷݸ ਓ৘ใͷ઄औ Ґ αʔϏε๦֐߈ܸʹΑΔαʔϏεͷఀࢭ Ґ

Slide 44

Slide 44 text

44 ࢀߟ৘ใ © 2020 OWASP Fukushima • ৘ใηΩϡϦςΟେڴҖ ɿ*1"ಠཱߦ੓๏ਓ ৘ใॲཧਪਐػߏ IUUQTXXXJQBHPKQTFDVSJUZWVMOUISFBUTIUNM • ৘ใηΩϡϦςΟେڴҖ ɿ*1"ಠཱߦ੓๏ਓ ৘ใॲཧਪਐػߏ IUUQTXXXJQBHPKQTFDVSJUZWVMOUISFBUTIUNM ଞɺաڈͷʮ৘ใηΩϡϦςΟେڴҖʯࢿྉ • εϚϗܾࡁͷෆਖ਼ར༻͸ͳʹ͕ݪҼʁ cτϨϯυϚΠΫϩ JT IUUQTXXXJTKQNBOHB • ΩϟογϡϨεେࠞཚɿʮ̧̦ίʔυ࠮ٗʯʹ͝༻৺ ؆୯ͳखޱͰଟൃ͢Δඃ֐ʹଜా৾Ұ࿠ʗ Ճ౻݁Ֆ cिץΤίϊϛετ 0OMJOF IUUQTXFFLMZFDPOPNJTUNBJOJDIJKQBSUJDMFTTFND

Slide 45

Slide 45 text

਎ۙʹ࣮ફͰ͖Δରࡦ

Slide 46

Slide 46 text

46 ৘ใηΩϡϦςΟରࡦͷجຊ © 2020 OWASP Fukushima ߈ܸͷࢳޱ ৘ใηΩϡϦςΟରࡦͷجຊ ໨త ιϑτ΢ΣΞͷ੬ऑੑ ιϑτ΢ΣΞͷߋ৽ ੬ऑੑΛղফ͠߈ܸʹΑΔϦεΫ Λ௿ݮ͢Δ ΢Πϧεײછ ηΩϡϦςΟιϑτͷར༻ ߈ܸΛϒϩοΫ͢Δ ύεϫʔυ઄औ ύεϫʔυͷ؅ཧɾೝূͷڧԽ ύεϫʔυ઄औʹΑΔϦεΫΛ௿ ݮ͢Δ ઃఆෆඋ ઃఆͷݟ௚͠ ޡͬͨઃఆΛ߈ܸʹར༻͞Εͳ͍ Α͏ʹ͢Δ ༠ಋʢ᠘ʹ͸ΊΔʣ ڴҖɾखޱΛ஌Δ खޱ͔Βॏཁࢹ͢Δ΂͖ରࡦΛཧ ղ͢Δ

Slide 47

Slide 47 text

47 ৘ใηΩϡϦςΟରࡦͷجຊ © 2020 OWASP Fukushima • ιϑτ΢ΣΞͷߋ৽ • 1$΍εϚϗʹιϑτ΢ΣΞߋ৽͕དྷͨΒɺਝ଎ʹΞοϓσʔτ͢Δɻ • ηΩϡϦςΟιϑτͷར༻ • 1$΁ͷ΢Οϧε΍Ϛϧ΢ΣΞͷ৵ೖΛ๷͙ɻ • ύεϫʔυͷ؅ཧɾೝূͷڧԽ • ύεϫʔυ؅ཧπʔϧΛ࢖͏ɻೋஈ֊ೝূΛ࢖͏ɻ • ઃఆͷݟ௚͠ • ΞΫηε੍ޚʹෆඋ͕ͳ͍Α͏఺ݕ͢Δɻ • ڴҖɾखޱΛ஌Δ • ఴ෇ϑΝΠϧ΍ϝʔϧຊจͷϦϯΫΛෆ༻ҙʹ։͔ͳ͍ɻ • ։͍ͨ΢ΣϒαΠτ͕ਖ਼نͷ΋ͷ͔֬ೝ͢Δɻ

Slide 48

Slide 48 text

৘ใηΩϡϦςΟରࡦ͸ٕज़͚ͩͷ໰୊ͱଊ͑ΒΕ͕ͪ ʢηΩϡϦςΟʹٕज़త໰୊ͱޡೝ͍ͯ͠Δਓ͕গͳ͘ͳ͍ʣ ࣮ࡍʹ͸૊৫ମ੍΍ϙϦγʔࡦఆɺྙཧڭҭͳͲ΋ ؚΊͯଟ֯తʹऔΓ૊Ήඞཁ͕͋Δ 48

Slide 49

Slide 49 text

ৗʑɺݚम΍஫ҙשىΛͱ͓ͯ͠৘ใηΩϡϦςΟʹ ର͢ΔҙࣝΛ޲্ͤ͞ɺܧଓతʹऔΓ૊Ή͜ͱ͕େࣄ 49

Slide 50

Slide 50 text

ҰํͰص্ͷԋश͚ͩͰ͸ʮϦΞϧ͞ʯ͕ͳ͘ɺ ࣮ࡍʹΠϯγσϯτ͕ൃੜͨ͠ࡍʹਖ਼͘͠ରॲͰ͖Δ͔ ෆ֬ఆͰ͋ͬͨΓɺܗ֚ԽͷڪΕ͕͋Δ 50

Slide 51

Slide 51 text

ΠϯγσϯτରԠڝٕձ ʮ)BSEFOJOH1SPKFDUʯͷ͝঺հ 51

Slide 52

Slide 52 text

• αΠόʔηΩϡϦςΟʔͷٕज़Λڝ͏ڝٕձ • ओ࠵ɿ8FC"QQMJDBUJPO4FDVSJUZ'PSVNʢ8"4'PSVNʣ • ڠྗஂମɿ֤஍Ҭͷ৘ใηΩϡϦςΟʔڠٞձɺߦ੓ػؔɺେֶɺ*5اۀ • ʰʮӴΔٕज़ʯͷՁ஋Λ࠷େԽ͢Δ͜ͱΛ໨ࢦ͢ʱ • ڝٕձˍൃදձʢ)BSEFOJOH%BZɾ4PGUFOJOH%BZʣ • ͶΒ͍ɿେձ։࠵Λ௨ͯ͠ηΩϡϦςΟʔٕज़ͷਓࡐҭ੒ͱීٴΛ໨ࢦ͢ 52 )BSEFOJOH1SPKFDUͱ͸ © 2020 OWASP Fukushima

Slide 53

Slide 53 text

͜Ε·Ͱɺ೔ຊશࠃ ༷ʑͳձ৔Ͱ։࠵ 53 )BSEFOJOH1SPKFDUͱ͸ © 2020 OWASP Fukushima ࡳຈ ԭೄɾ ٶݹౡ ౦ژ ୶࿏ౡ

Slide 54

Slide 54 text

• ΢ΣϒΞϓϦέʔγϣϯͷηΩϡϦςΟʔʹؔ͢Δ՝୊ͷݚڀ ରࡦ৘ใͷܒ໤Λߦ͏ஂମ • ΧϯϑΝϨϯε΍ษڧձͳͲͷΠϕϯτΛ։࠵ 54 8"4'PSVNͱ͸ © 2020 OWASP Fukushima େֶ ੓෎ػؔ ηΩϡϦςΟʔ ؔ࿈اۀ

Slide 55

Slide 55 text

55 ڝٕͰ͸ԿΛ͢Δͷ͔ © 2020 OWASP Fukushima ˞νʔϜߏ੒͸େձʹΑͬͯҟͳΓ·͢

Slide 56

Slide 56 text

© 2020 OWASP Fukushima ೥݄೔ʙ೔ )BSEFOJOHᶘ46 ๺ւಓࡳຈࢢ αοϙϩϑΝΫτϦʔϗʔϧ

Slide 57

Slide 57 text

© 2020 OWASP Fukushima

Slide 58

Slide 58 text

© 2020 OWASP Fukushima

Slide 59

Slide 59 text

59 ڝٕͰ͸ԿΛ͢Δͷ͔ © 2020 OWASP Fukushima • ਖ਼ৗՔಇΛҡ࣋͢Ε͹ࣗಈతʹച্͕ ૿͍͑ͯ͘࢓૊Έ • ͔͠͠ɺ&$αΠτ؀ڥʹ͸੬ऑੑ΍ ઃఆͷෆඋ͕࢓ࠐ·Ε͍ͯΔ • ڝٕ࣌ؒͷதͰ&$αΠτͷ؅ཧମ੍Λ ੔͑ɺ໰୊఺Λ୳͠ɺඞཁͳमਖ਼Λࢪ͢ • ෆҙʹൃੜ͢ΔΠϯγσϯτʹରԠ͠ɺϏδωεΛܧଓͤ͞Δ • ച্ͷ߹ܭ΍໰୊ରԠͷ੒ՌΛݩʹ࠾఺ɾධՁ͞ΕΔ

Slide 60

Slide 60 text

60 ධՁํࣜ © 2020 OWASP Fukushima

Slide 61

Slide 61 text

61 © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻

Slide 62

Slide 62 text

62 ڝٕ։࢝ © 2020 OWASP Fukushima • ·ͣ࢝Ίʹߦ͏͜ͱ • ύεϫʔυมߋ • αʔόʔઃఆͷෆඋΛमਖ਼ • ੬ऑੑͷ͋Διϑτ΢ΣΞͷߋ৽ • த൫ʙऴ൫ • γεςϜʹҟৗ͕ͳ͍͔؂ࢹ • ൃੜͨ͠Πϯγσϯτ΁ͷରԠ

Slide 63

Slide 63 text

63 ऑ఺Λಥ͍ͨ߈ܸ © 2020 OWASP Fukushima • 8PSE1SFTT • ॏେͳ੬ऑੑΛ࣋ͭόʔδϣϯ͕Քಇ͍ͯͨ͠ ˠ ෆਖ਼ͳॲཧͷ࣮ߦ • ੬ऑੑͷ͋ΔϓϥάΠϯ͕ଟ਺Πϯετʔϧ͞Ε͍ͯͨ ˠ ಉ্ • &$$6#& • ϚΠφεͷ਺ྔͰ஫จͰ͖Δෆ۩߹ ˠ ࡏݿ͕ݮΒ͞ΕΔ • ؅ཧը໘ͷϩάΠϯύεϫʔυݕূ࿙Ε ˠ ෆਖ਼ΞΫηε • %#ઃఆෆඋ • ֎෦ωοτϫʔΫ͔ΒΞΫηεՄೳʹͳ͍ͬͯͨ ˠ ߈ܸͷඃ֐Λট͘ • ΞΫηεೝূͷઃఆʹෆඋ͕͋ͬͨ ˠ ෆਖ਼ΞΫηε

Slide 64

Slide 64 text

64 Χʔυ৘ใͷ࠮औ © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻

Slide 65

Slide 65 text

65 ߈ܸΛड͚Δͱ © 2020 OWASP Fukushima

Slide 66

Slide 66 text

66 ߈ܸඃ֐Λड͚ͨײ૝ © 2020 OWASP Fukushima • ߈ܸΛ༧૝ͨ͠ͱ͜ΖʹདྷͣɺࢥΘ͵ͱ͜ΖΛ߈ΊΒΕΔ • ࣮֬ͳʮൃݟˠ൑அˠରॲʯ͕ॏཁ • ࣍ʑى͖Δࣄଶʹ௥ΘΕ͍ͯΔͱ؆୯ͳ͜ͱͰ΋ରԠ͕஗ΕΔ • ৯ࣄΛͱΔ࣌ؒ͢Β੯͍͠ • ਫ਼ਆతͳλϑ͞΋ٻΊΒΕΔ

Slide 67

Slide 67 text

67 ߨධˍ੒੷ൃද © 2020 OWASP Fukushima • ͦͷཌ೔ 4PGUFOJOH%BZ • ֤νʔϜ͕ࣄલ४උ΍ڝٕதͷରԠ ʹ͍ͭͯൃද͢Δ • ӡӦଆΑΓ߈ܸख๏ͷղઆΛަ͑ͯ ڝٕશମͷৼΓฦΓ • ੒੷ൃදˍදজࣜ IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻

Slide 68

Slide 68 text

© 2020 OWASP Fukushima

Slide 69

Slide 69 text

69 νʔϜಠࣗͷऔΓ૊ΈͷධՁ © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻

Slide 70

Slide 70 text

70 νʔϜಠࣗͷऔΓ૊ΈͷධՁ © 2020 OWASP Fukushima IUUQTZPVUVCFI+&D#QB+0UL ΑΓҾ༻ ద੾ͳސ٬ରԠ

Slide 71

Slide 71 text

71 )BSEFOJOH1SPKFDUͱ͸ © 2020 OWASP Fukushima )BSEFOJOH1SPKFDUͱ͸ʜ ࣦഊͰ͖Δຊ൪؀ڥ • ຊ൪ʹݶΓͳ͍ۙ͘܇࿅؀ڥ • ٕज़͚ͩͰͳ͘ɺސ٬ରԠɺࣾ಺ରԠɺ๏຿ରԠ΋໰ΘΕΔ • νʔϜͷ૯߹ྗΛҾ͖ग़ͨ͢Ίͷ࿈ܞ͕ඞཁ

Slide 72

Slide 72 text

72 )BSEFOJOH1SPKFDUͷ৘ใ © 2020 OWASP Fukushima ࣍ճେձͷ։࠵ɾࢀՃԠืͳͲΠϕϯτৄࡉ͸ɺ XBTGPSVNKQ Λ͝ࢀর͍ͩ͘͞

Slide 73

Slide 73 text

73 .*/*)BSEFOJOH1SPKFDU © 2020 OWASP Fukushima ʮ΋ͬͱؾܰʹࢀՃ͍ͨ͠ʯͱ͍͏ํʹ͸ .*/*)BSEFOJOH1SPKFDU

Slide 74

Slide 74 text

• )BSEFOJOH1SPKFDUΛίϯύΫτͳߏ੒ʹͨ͠ɺ ΧδϡΞϧͳެࣜεϐϯΦϑΠϕϯτ ʲશߦఔɿ̎೔ؒˠ̍೔ɺڝٕ࣌ؒɿ̔࣌ؒˠ̏࣌ؒʳ • Πϯγσϯτ΍τϥϒϧʹରԠ͢ΔγφϦΦΛମݧͰ͖Δ 74 .*/*)BSEFOJOH1SPKFDUͱ͸ © 2020 OWASP Fukushima .*/*)BSEFOJOH1SPKFDU

Slide 75

Slide 75 text

75 αςϥΠτձ৔͔ΒͷࢀՃ © 2020 OWASP Fukushima IUUQTXXXGBDFCPPLDPNEFMQIJO[ QPTUTΑΓҾ༻ ೥݄೔ .*/*)BSEFOJOH 1SPKFDU !08"41,BOTBJ

Slide 76

Slide 76 text

76 ໊લ͸ʮ.*/*ʯͰ΋߈ܸ͸ຊ֨త © 2020 OWASP Fukushima • ੬ऑੑ͕मਖ਼͞Ε͍ͯͳ͍ιϑτ΢ΣΞ͕ಈ͍͍ͯΔ • Քಇ͍ͯ͠ΔγεςϜͷઃఆʹෆඋ͕͋Δ • 42-ΠϯδΣΫγϣϯˠ৘ใྲྀग़ɺσʔλͷվ᜵ • ίϚϯυ࣮ߦˠෆਖ਼ΞΫηεɺαʔϏεఀࢭ • ϥϯαϜ΢ΣΞʹΑΔϑΝΠϧͷ҉߸Խ

Slide 77

Slide 77 text

© 2020 OWASP Fukushima

Slide 78

Slide 78 text

৘ใηΩϡϦςΟʔͷڴҖʹରͯ͠ ʮཧղΛਂΊɺద੾ͳରࡦΛߨ͡Δʯ ʮສ͕Ұͷࡍʹඃ֐Λ࠷খԽ͢Δʯ ͨΊʹɺਖ਼͍͠஌ࣝͱ܇࿅Λ