継続的Webセキュリティテスト PHPカンファレンス関西2015 LT

Copyright (c) Bitforest Co., Ltd.

　

　

継続的Webセキュリティテスト

2015/2/19 VAddy Meetup1

株式会社ビットフォレスト市川


　

　

自己紹介

2

• IPA好き市川

• @cakephper / @ichikaway

• 福岡在住(PHPカンファレンス福岡)


　

　

3

Webエンジニアは

セキュリティを意識した開発をすべき！


　

　

4

本音セキュリティのこと考えたくない！


　

　

5

本音2

ライブラリ、フレームワークでなんとかして！


　

　

6

現実やられたニュースをよく聞く自分は大丈夫だろうか？


　

　

7

現実広範囲のスキャンが来て凡ミスがあると・・・


　

　

8

脆弱性もバグだからテストしよう！


　

　

セキュリティテスト

• 脆弱性診断サービス

• セキュリティテストツール

• App Scan • OWASP ZAP • VAddy

9


　

　

OWASP ZAP

10


　

　

11

ユニットテストと同じく開発初期からリリース後まで


　

　

12

継続的なセキュリティテスト

が必要


　

　

世界の流れ

• Google • GTAC 2013: Finding XSS at Google Scale • 社内で独自ツールを使ってチャレンジ中

• https://www.youtube.com/watch?v=rd5TZKRg-‐lc

13

https://www.youtube.com/watch?v=rd5TZKRg-lc


　

　

世界の流れ• カーネギーメロン大学ソフトウェア工学部

• http://blog.sei.cmu.edu/post.cfm/security-‐continuous-‐integration-‐338

14

http://blog.sei.cmu.edu/post.cfm/security-continuous-integration-338


　

　

継続的Webセキュリティテストの課題

• 既存のツールを使う場合

• CIのフローに乗せるのが大変

• 設定項目が多くノウハウを貯める必要

15


　

　

重要ポイント

16

Webアプリケーションの動作を

検査ツールが把握して

検査できなければ

まったく意味がない


　

　

17

なんか・・面倒そう

本音


　

　

本音

18

ビジネスに関わる開発に

注力したいのに・・


　

　

19

簡単に導入運用が不要効果的な検査

CIサイクルに組込み


　

　

20

継続的Webセキュリティテストサービス

Vulnerability Assessment is your Buddy （脆弱性診断はあなたの相棒）


　

　

21

継続的Webセキュリティテストサービス

http://vaddy.net


　

　

VAddyの特徴

• インストール不要(SaaS)

• 無料

• CI連携可能

• WebAPI提供

• Jenkinsプラグイン

• Travis, CircleCI, etc 連携可能

22


　

　

よくある構成

23


　

　

VAddyの特徴

24

特別な設定なしでVAddyがアプリケーションの動作を理解して

正確に検査できるように


　

　

VAddyのポリシー

25

開発者が

開発に注力できるように！


　

　

VAddyの特徴

26

機械学習を使った

セキュリティ検査の

エンジンを独自開発


　

　

VAddy DEMO

27


　

　

脆弱性の種類、問題のパラメータ名

28


　

　

再現用の攻撃リクエスト

29


　

　

30

まずは VAddyやOWASP ZAP

を使って評価小さく初めてみる


　

　

31

継続的なセキュリティテストが今後のトレンドになる


　

　

VAddyの現状(2015/5 現在)

• 無料プランのみ提供中

• 何度でもスキャン実行可能

• SQLインジェクション、XSS

• Jenkinsプラグイン提供中

• Rubyクライアント提供中

• CircleCI, TravisCI, Codeshipなどに対応

32


　

　

現状、可能な検査(SQLi, XSS)• GET/POST/PUT/DELETEのパラメータの検査

• RestAPI対応、パラメータがJSON対応

• URLパスのパラメータ検査

• www.example.com/item/view/1 • フォーム認証（ログイン画面）

• CSRF対策トークン(Angular.jsも含め)

• SSL上のアプリケーション33


　

　

34

http://vaddy.net

ご清聴ありがとうございました

Technology

継続的Webセキュリティテスト PHPカンファレンス関西2015 LT