アプリケーションのシフトレフトを実践するには

1. SHIFT LEFT PATH 岡田良太郎アスタリスク・リサーチ

2. 株式会社アスタリスク・リサーチシフトレフトでビジネスセキュリティを実現 Enabling Security 2021年1⽉

3. © Asterisk Research, Inc. 3

4. SHIFT LEFT why: 必要な背景・理由 where: どこを変⾰するか 1st step: 何から⼿をつけるか (c) Riotaro OKADA 4

5. why: 必要な理由 (c) Riotaro OKADA 5

6. Audience:あなたについてお聞きします 1. ソフトウェア設計・開発担当 2. 品質保証・テスト・セキュリティ検査担当 3. ⽣産技術・ガバナンス担当 4. プロダクト・企画担当 5. その他

7. © Asterisk Research, Inc. 7 1. マルウェア 2. ウェブの仕組みを利⽤した攻撃 3. フィッシング 4. ウェブアプリケーションへの攻撃 5. スパム 6. DDoS 7. id盗難 8. データ漏洩 9. 内部脅威 10. ボットネット 11. 物理的な操作/損害/盗難/紛失 12. 情報漏洩 13. ランサムウェア 14. サイバースパイ 15. クリプトジャッキング

8. IPA 発表情報セキュリティ１０大脅威順位組織 1位ランサムウェアによる被害 2位標的型攻撃による機密情報の窃取 3位テレワーク等のニューノーマルな働き方を狙った攻撃 4位サプライチェーンの弱点を悪用した攻撃 5位ビジネスメール詐欺による金銭被害 6位内部不正による情報漏えい 7位予期せぬIT基盤の障害に伴う業務停止 8位インターネット上のサービスへの不正ログイン 9位不注意による情報漏えい等の被害 10位脆弱性対策情報の公開に伴う悪用増加情報セキュリティ10⼤脅威 2021 (情報処理推進機構発表)

9. 弱点はフル活用されてしまう攻撃者の準備と実⾏に関わる⼿段の部分を構造化して⾒られるフレームワーク • どこを⾒るのか • どんなツール・⼿法を使うのか • どんな⼿法で⾏うのか • 最終⽬的 Enabling Security with "シフトレフト" © Asterisk Research, Inc. 9 MITRE Att&ck https://mitre-attack.github.io/attack-navigator/enterprise/ * ⾚いのは、OWASP Top 10に関連する脆弱性

10. ここ最近のアプリケーションセキュリティ関連ニュース • チケット販売サイト「Pea$x」利⽤者リストネットで取り引き（2020/11/20） NHK • 総連HPにウイルス疑い警視庁、韓国籍の元学⽣書類送検(2020/12/16)⽇経 • EXILEサイトで流出か、4万件以上のカード情報（2020/12/8）⽇経 • 「PayPay」不正アクセス受ける最⼤2007万件余の可能性（2020/12/7）NHK • 福島医⼤病院でランサム被害 17年夏、公表せず（2020/12/2）⽇経 • クレカ番号など漏洩かフリー、設定ミスで2898件（2021/2/10）⽇経 • NTTデータも被害、広がるGitHub上のコード流出問題（2021/2/1）⽇経❗ • コード⼀部流出、情報漏洩はなし三井住友銀（2021/1/30）⽇経❗ • サーバーが不正アクセス被害|共英製鋼株式会社（2021/2/19）CyberSecurity.com • 男性向けファッション通販サイトに不正アクセス（2021/2/18）Security NEXT • 新潟市と飯⽥市の緊急通報システム「Net119」へ不正アクセス、登録者情報が参照された可能性（2021/2/18）ScanNetSecurity • マイナビ転職で不正ログインでウェブ履歴書約21万件流出の可能性（2021/2/18） CyberSecurity.com • サーバに不正アクセス、原因や影響を調査 - 伯東株式会社（2021/2/17）Security NEXT • ⻄条市の健診予約システムが不正アクセスでサービス⼀時閉鎖へ（2021/2/16） CyberSecurity.com • 2市の健診サイトに不正アクセス個⼈情報流失か奈良（2021/2/12）朝⽇新聞 • 「サイバーパンク2077」開発元にサイバー攻撃データ奪われ脅迫される（2021/2/12）ITMedia • バンダイグループお客様相談センターに不正アクセス、クラウド型営業管理システムのセキュリティ設定不備を突く（2021/2/1）ScanNetSecurity (c) Riotaro OKADA 10 • アプリケーション脆弱性 • 実装ミス・設計ミス • コンポーネントの脆弱性 • クラウドサービス側の問題 • クラウド設定のミス • 意図的なバックドア

11. シフトレフト • 解決すべき⼭のような問題を、発⽣原因のフェーズにさかのぼって、軽減に向けて⼀緒に取り組むこと場当たり的な解決から、本質的課題解決へ

12. 例：「カード情報漏洩事件が起きてえらい問題になった」⼤命令：「システム状況と原因を調べよ！」 • 原因１：よく調べたらクラウドのDB機能の管理機能がざるだった → アクセス制限を強化する仕組みの設計 • 原因２：よく調べたら脆弱性検査でわんさとXSSやSQLiが出た → 実装担当のやりかたを⾒直す必要 • 原因３：よく調べたら、実装担当にコードレビューの仕組みがない • 原因４：さらによく調べたら、チーム全体にセキュリティ情報が不⾜ • 原因５：エンジニアスキルの確保⽅策は脆弱だった

13. シフトレフトの類語 • フロントローディング • レトロスペクティブ • カイゼン • Why ５回

14. セキュリティ確保 … 事件事故、減らないよね脆弱性、減らないよねインシデント対応大変だねハッキングされなければいいだけなんだけどねセキュリティ、めんどくさいよね (c) Riotaro OKADA 14

15. セキュリティのためだけではない。多様な開発が必要 • サイズの違い/期間、予算、分解可能な単位の違い • アーキテクチャやプラットフォームの違い • 業界ごとにリスクの違いも⼤きい • ビジネスリスク • ユーザのリスク • 業界のリスク • コンプライアンス (c) Riotaro OKADA 15

17. where: (c) Riotaro OKADA 17

18. アプリケーションセキュリティのシフトレフトとは • WHERE 問題は何かよりも、どこで⽣じたか • WHEN 可能な限り迅速に • WHO 関係者全員に • WHAT 不⾜している情報を迅速に提供すること • バグ、脆弱性、ヒューマンエラー • 開発セキュリティの実践的なノウハウ • 使えるコンポーネント（OSS、アプライアンス）の情報 • コンプライアンス、脅威トレンド、過去の痛み…

19. アプリケーション構築フロー企画 • ビジネス⽬標 • 問題解決 • コンプライアンス要件 • リスクプロファイル • 脅威トレンド • 運⽤課題設計 • 機能・⾮機能要件 • 脅威対応機能開発 • 実装⽅針 • コンポーネント • 権限マトリックス検証 • コード検証 • ビルド検証 • セキュリティ検証運⽤ • デプロイ設定 • 基盤の設定 • アラート対応 © Asterisk Research, Inc. 19

20. SANS調査(2015)：「セキュリティ重点フェーズはどの段階ですか」要件定義設計実装ビルドリリース前その他 53.40% 16.50% 14.60% 4.90% 8.70% 1.90%

21. Monolithic Design(密結合)時代 WEB アカウントテーブル在庫テーブル出荷テーブル Mobile App Browser REST 冗長構成重大な脆弱性： SQLi、XSS、 CSRF、ディレクトリートラバーサル、コードインジェクションイネーブラ： Linux/OSSなどオープンアーキテクチャの構築手段の普及コンシューマのEC、SNSの流行攻撃面：デバイス、ブラウザ、サービスの入口

22. REST REST REST REST WEB アカウント在庫出荷・・・・ APIゲートウェイウェブサイト Mobile App Browser アカウントサービス在庫管理サービス出荷管理サービス・・・・重大な脆弱性： XXE、SSRF、コードインジェクション、モニタリング不足イネーブラ：仮想化技術、クラウド、サーバレスの普及アカウント連携、IoT、サービス間データ連携の適用範囲拡大 Microservices(疎結合) 時代攻撃面：全APIの入口、インスタンス攻撃面：デバイス、ブラウザ、サービスの入口

23. “Serverless” Function-as-a-Service (FaaS) プラットフォーム

24. IdP 認証基盤・・・・ Mobile App Browser ・・・・イネーブラ： SaaS, IaaS x IdP, API, WebHook… MicroService x DX時代メール配信サービスストレージサービス No code/Low code サービス決済代行サービス SaaS オンライン会議サービスコミュニケーションチャットサービス WebHook App+API センサー UI 重大な脆弱性？攻撃面？狙いは？ An

25. ウォーターフォール(1970 s) 要件設計実装検証リリース • 基本的に不可逆 • 要件の段階ですべて予知している必要がある • 実装から検証までの時間は⻑い • 脆弱性の半分は設計問題、半分は実装問題 • 結果、リリース時の品質は… • やり直しは想定していない • 「時間とコスト」の政治⼒が⼀番⼤きい

26. 開発手法の変革 (1990 s) 要件設計実装検証リリース • 基本的に段階的な完成 • もっとも重要な機能から作っていく（Minimum Viable Product） • だんだん成熟する • 実装から検証までの時間は皆無か短い • 設計、実装、検証、リリースは１チーム • 短期間で検証する • 結果、リリース時の品質は… • 成熟している繰り返し、確実なゴールを踏む要件設計実装検証リリース要件設計実装検証リリース要件設計実装検証リリース

27. ガバナンス：生産の問題は、生産技術の問題プレス溶接塗装組⽴検査製品企画開発⽣産技術⽣産 © Asterisk Research, Inc. 27 ⽬的→実施→検査→改善⽬的→実施→検査→改善⽬的→実施→検査→改善⽬的→実施→検査→改善最終的な確認

28. 問題原因と解決即時判断が最速。把握していないことは、設計できない。設計していないことは、実装できない。実装していないことは、監視できない。監視していないことは、可視化できない。可視化していないことは、把握できない - サイロ化をやめろ

29. 把握から改善は現場で起こる Real Time

30. 把握した問題へのスピーディな改善

31. セキュリティは、ビジネスを⽀えるスピードのためすべての段階を⽀える

32. OODA, Agile, DevOps → CI/CD • 出典：CISOハンドブック第８章

33. Audience: あなたの問題場所は？ 1. 運⽤が改善すべき問題を分析できていない 2. 検証が開発プロセスにマッチしていない 3. 実装がセキュリティの作り⽅の情報が不⾜ 4. 設計がセキュリティ計画を意識できていない 5. 要件が⽬標とするセキュリティを決められない

34. 1st step: (c) Riotaro OKADA 34

35. 35 OWASP

36. DevOpsに成熟が必要なプラクティス OWASP SAMM 2.0 Governance ガバナンス Design 設計 Implementation 実装 Verification 検証 Operations 運⽤ Strategy and Metrics 戦略と指標 Threat Assessment 脅威評価 Secure Build セキュアな構築 Architecture Assessment アーキテクチャ評価 Incident Management インシデント管理 Policy and Compliance ポリシーとコンプライアンス Security Requirements セキュリティ要件 Secure Deployment セキュアなデプロイ Requirements-driven Testing 要件駆動型のテスト Environment Management 稼働環境の管理 Education and Guidance 教育と指導 Security Architecture セキュリティアーキテクチャ Defect Management 不具合管理 Security Testing セキュリティテスト Operational Management 運⽤管理

37. DevOpsに成熟が必要なプラクティス OWASP SAMM 2.0 Governance ガバナンス Design 設計 Implementation 実装 Verification 検証 Operations 運⽤ Strategy and Metrics 戦略と指標 Threat Assessment 脅威評価 Secure Build セキュアな構築 Architecture Assessment アーキテクチャ評価 Incident Management インシデント管理 Policy and Compliance ポリシーとコンプライアンス Security Requirements セキュリティ要件 Secure Deployment セキュアなデプロイ Requirements-driven Testing 要件駆動型のテスト Environment Management 稼働環境の管理 Education and Guidance 教育と指導 Security Architecture セキュリティアーキテクチャ Defect Management 不具合管理 Security Testing セキュリティテスト Operational Management 運⽤管理 CI/CD

38. 主戦場はCI/CDの現場

39. エコシステムのモニタリング

40. 侵害者のセリフ？ SREのセリフ？

41. 認証と認可を⾒直せ

42. 生産技術：開発セキュリティ標準のベンチマークを見直してみる • 業界・⽬的特化 • FISC標準 • BIMCO • PCI DSS • ISO 21434 • ３省３ガイドライン • サイバーセキュリティ経営ガイドライン • 共通領域 • NIST 800 series • OWASP SAMM / Top 10 / Proactive controls / ASVS / Cheatsheets • CIS Security Benchmark • IPA (c) Riotaro OKADA 42

45. Audience: シフトレフト、早速なにからやってみたいですか 1. DevOps チームのたてわりをやめ、コミュニケーションしてみる 2. CI 開発と検証をワンセットで使えるようにしてみる 3. CD 改善頻度の⾼いシステムを迅速にリリースする 4. Agile ステップバイステップで⼩さな改善を繰り返す 5. Leadership シフトレフトする組織の⽅向性を推進する

46. セキュリティ版家庭の医学 • 「もはや経験のあるベテランの勘で経営判断できる状況ではなく、持てる限りのデータを活⽤し、迅速に判断し、アクションを取らなければなりません」 • 「⼀⽅で、未成熟な技術に⽢んじなければならない側⾯もあります」 • 「そこで、DXを進める上での前提は」主軸を成す鍵を示す13の章と21のコラムさらに理解を深める8つの付章全400ページ、11名の執筆陣による、2018年刊に次ぐ大幅改訂新版。

47. Thanks riotaro@rsrch.jp (c) Riotaro OKADA 47

アプリケーションのシフトレフトを実践するには

アプリケーションのシフトレフトを実践するには

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados(20)

Similar a アプリケーションのシフトレフトを実践するには

Similar a アプリケーションのシフトレフトを実践するには(20)

Mais de Riotaro OKADA

Mais de Riotaro OKADA(10)

Último

Último(9)

アプリケーションのシフトレフトを実践するには