コミュニティ活動からみるPHPセキュリティ / PHP Conference Kansai 2015

PHPカンファレンス関西2015

Transcript

1. OWASP KANSAI
   松本 悦宜
   公開用資料修正 2015/06/03
   

   View Slide

2. View Slide

3. OWASPとは
   – Webセキュリティを取り巻く問題を解決する
   ための国際的なコミュニティ
   – 企業や国境の壁はもちろんのこと、あらゆる
   専門知識と経験を持ったスペシャリスト、ま
   たユーザのコラボレーションにより、自由に
   参加できる開放された活動を展開
   – 2001年から活動開始
   アメリカ政府認定NPO
   – 200以上の拠点に支部
   

   View Slide

4. OWASPとは
   OWASPに基づく様々なアウトプット
   – 3年に一度、Webアプリケーションの注意すべき
   脆弱性と対策をまとめて公表
   – オープンソースの脆弱性診断ツール
   – ソフトウェア - オープンソース
   – ドキュメント -CC BY SA
   

   View Slide

5. OWASP TOP 10
   • Webアプリケーションの注意
   すべき脆弱性と対処方法の
   まとめ
   • 3年に一度リリース
   • モバイル分野にも対応するため『OWASP
   MobileSecurity Project』の一環として
   「Top 10 Mobile Risks」の開発も進行中
   https://www.owasp.org/images/7/79/OWASP_Top_10_2013
   _JPN.pdf
   

   View Slide

6. OWASP ZAP
   • OWASPによるオープン
   ソースの脆弱性診断
   ツール
   • 日本語にも対応、日本
   語版の運用マニュアルもあり
   • 誰にでも手軽に検査できることを重視した
   設計
   https://www.owasp.org/index.php/OWASP_Zed_Attack_
   Proxy_Project
   https://docs.google.com/file/d/0B1e1Cma1GUllazNUNVp
   6OWdGYzg/edit
   

   View Slide

7. 国内におけるOWASPの活動
   • OWASP Japan
   – 2011年に国内にて活動開始(主に東京)
   – 2014年3月OWASP AppSec APAC 2014を開催
   • OWASP Kansai
   – 2014年より関西にて
   活動開始
   

   View Slide

8. 国内におけるOWASPの活動
   • OWASP Japan
   – 2011年に国内にて活動開始(主に東京)
   – 2014年3月OWASP AppSec APAC 2014を開催
   • OWASP Kansai
   – 2014年より関西にて
   活動開始
   

   View Slide

9. View Slide

10. Security × PHP Hot Topics
    • Webサイトの脆弱性を突く攻撃
    • 継続的に行われている攻撃
    • PHPのサポート終了
    

    View Slide

11. Webサーバ
    サイトの脆弱性を突いた攻撃
    Webサイト
    脆弱性
    攻撃者
    改ざん
    マルウェア設置
    脆弱性
    情報窃取
    

    View Slide

12. サイトの脆弱性を突いた攻撃
    インジェクション
    認証とセッション管
    理の不備
    クロスサイトスクリ
    プティング (XSS)
    安全でないオブジェ
    クト 直接参照
    セキュリティ設定の
    ミス
    機密データの露出
    機能レベルアクセス
    制御の欠落
    クロスサイトリクエ
    ストフォージェリ
    (CSRF)
    既知の脆弱性を持つ
    コンポーネントの使
    用
    未検証の リダイレ
    クトとフォーワード
    各項目の詳細は OWASP TOP 10 で解説
    

    View Slide

13. サイトの脆弱性を突いた攻撃
    自組織のウェブサイトに CMS が使われている
    という認識がない
    脆弱性がある古いバージョンの CMS を使用す
    る危険性を認識していない
    委託先との契約が終了するなどの理由で、ウェ
    ブサイトの管理者が不在である
    

    View Slide

14. サイトの脆弱性を突いた攻撃
    例えば、PHPを避ける
    管理できないウェブサイトは
    閉鎖の検討を
    https://www.ipa.go.jp/security/ciadr/vul/201406
    19-oldcms.html
    

    View Slide

15. サイトの脆弱性を突いた攻撃
    セキュリティに関する重要なお知らせ「WEB
    サイト改ざんの予防策」
    https://heteml.jp/pages/security/
    Movable Type を安全に利用するためにでき
    ること
    http://www.movabletype.jp/blog/secure_m
    ovable_type.html
    CMSベンダやホスティング事業者
    セキュリティ機関などの情報を参考に
    継続的な対策を！
    

    View Slide

16. 攻撃の継続的な発生
    リスト型攻撃
    

    View Slide

17. 攻撃の継続的な発生
    スキャン
    ライブラリの使用時の設定不備を探索していると
    考えられるアクセス
    

    View Slide

18. 攻撃の継続的な発生
    古い PHP にある脆弱性を使用して攻撃を行っていると
    考えられるアクセス
    スキャン
    

    View Slide

19. サポートの終了
    • PHP 5 系のサポート終了
    Supported Versions
    https://php.net/supported-versions.php
    

    View Slide

20. サポートの終了
    フレームワークもまた…
    The Release Process
    http://symfony.com/doc/current/contributing/community/releases.html
    

    View Slide

21. View Slide

22. OWASP Kansai
    • 日本で2番目のOWASPローカルチャプ
    ター
    • 2014年3月から活動開始
    • 3か月に1回のChapter Meeting(勉強会)
    を開催
    

    View Slide

23. OWASP Kansai Local Chapter Meeting
    

    View Slide

24. OWASP Kansai Local Chapter Meeting
    OWASP Kansai Local Chapter Meeting 2nd
    テーマは HTML5
    「HTML5が最近どうなっていて何があぶなっかしいのか？」
    HTML5-WEST.jp 村岡さん
    「負ける気せえへん HTML5セキュリティやし」
    神戸デジタル・ラボ 松本
    「HTML5のセキュリティ、もうちょい詳しく！」
    OWASP Kansai はせがわようすけさん
    2014年6月
    

    View Slide

25. OWASP Kansai Local Chapter Meeting 2nd
    HTML5 になるとどう変わるの？
    サーバサイドで気を付けるべきことは？
     新しい要素と新しい属性
     新しい JavaScript API
     サイト(オリジン)を超えた AJAX
     別サイト(オリジン)から来たリクエストを受け入れる
    または拒否する
     ブラウザに実装されているHTTP のレスポンスヘッダ
    

    View Slide

26. OWASP Kansai Local Chapter Meeting
    OWASP Kansai Local Chapter Meeting 3rd
    テーマは OWASP ZAP
    【サイト開発者必見】無償で使える！脆弱性検査
    ツール『OWASP ZAP』ハンズオン
    ZAPエバンジェリスト 亀田さん
    2015年2月
    

    View Slide

27. OWASP Kansai Local Chapter Meeting 3rd
    OWASP ZAPとは
     ローカルプロキシツール
     無料、オープンソースライセンス
     セキュリティ診断に使用される
    ブラウザ サーバ
    プロキシ
    リクエストの確認
    変更など
    リクエスト リクエスト
    レスポンス
    レスポンス
    疑似攻撃による
    セキュリティテスト
    

    View Slide

28. OWASP Kansai Local Chapter Meeting 3rd
    OWASP ZAP ハンズオン
     OWASP ZAP を使ってみて実際に “疑似攻撃” する
    誰でもセキュリティ診断ができるように
    

    View Slide

29. 次のイベントは？
    オワスプ カンサイ ナイト
    OWASP Kansai Night
    神戸市内のお店を借り切ってたこ焼きパーティ
    お酒を交えながら楽しくWebセキュリティについて
    情報交換を行うカジュアルなスタイル
    2015年6月24日(水)
    19:00 ～ 21:00
    

    View Slide

30. まとめ
    • OWASP Kansai では Web アプリケーショ
    ンを安全にするための取組を行っています
    • PHPer の皆様の力が必要です！！
    • 関西からセキュリティをもりあげましょー
    OWASP Kansai 検索
    

    View Slide