デブサミ2013【15-A-6】増加するセキュリティ脆弱性の解決策

Developers
Summit

増加するセキュリティ脆弱性の解決策
開発者がセキュリティに意識をもつために

15-A-6 安竹由起夫
#devsumiA コベリティ日本支社
Developers Summit 2013 Action !

典型的なテスト

UI テスト

パフォーマンス

機能テスト

セキュリティ

未テストコード

2

典型的なテスト

UI テスト


機能テスト

セキュリティ


3

静的解析によるシミュレーション
コールグラフ＋条件分岐

UI テスト


機能テスト
全パス
セキュリティ全自動
シュミレーション

4

これまでは、コード品質から攻めてきてたんです。

コード品質を高めれば、
約６割の脆弱性は防ぐことができる
5 © 2011 Forrester Research, Inc. Reproduction Prohibited

 Javaセキュアコーディングガイド（CERT/Oracle）
– https://www.jpcert.or.jp/java-rules/
 C言語全般のセキュアコーディングガイド
– ISO IEC - JTC1/SC22/WG14-C
– http://www.open-std.org/jtc1/sc22/wg14/

 Android アプリのセキュアコーディングガイド
– http://www.jssec.org/news/20121119_securecoding.html

 PCI DSS
– アカウントデータ保護に関するコンプライアンス


Developers
Summit

まだまだ足りないようです


現在のWebアプリケーション開発における
セキュリティ対策は
未だ経験的が浅発展途上であり、
多くの側面が欠如している状態

Forrester レポート： Web アプリケーションでは、
いまだにセキュリティ問題にコストがかけられている
“2011年に、あなたの組織でセキュリティ
インシデントの対応にかかった、おおよそのコストは？”*

10億円以上 1%

5億円～１０億円 1% 18%
1億円～５億円 6%
このアンケートでは、
153社中 28社が 5千万円～1億円 10%

5千万円以上の 1千万～５千万円 24%
損害を被っている
1千万円以下 29%

わからない 28%

Base: 153 North American and European development and information security managers who have experienced a breach
Source: a©commissioned study conducted by Forrester Consulting on behalf of Coverity, June, 2012
9 2011 Forrester Research, Inc. Reproduction Prohibited

Forrester レポート：基本的な問題が上位を占めている

“ どのようなセキュリティ問題が組織にもっともインパクトを与えていると考えていますか？”

41% 37%
36%
デフォルトアカウントの運用環境の
パスワード設定コンフィギュレーシインジェクション
ョンミス

Base: 240 North American and European development and information security managers
Source: a commissioned study conducted by Forrester Consulting on behalf of Coverity, June, 2012

Developers
Summit

イライラしない


Forrester レポート：基本的な問題が上位を占めている

“ どのようなセキュリティ問題が組織にもっともインパクトを与えていると考えていますか？”

41% 37%
36%
デフォルトアカウントの運用環境の
パスワード設定コンフィギュレーシインジェクション
ョンミス

Base: 240 North American and European development and information security managers
Source: a commissioned study conducted by Forrester Consulting on behalf of Coverity, June, 2012

SQL インジェクション（SQLi）とは？
汚染データ
W eb ブラウザ

W eb アプリケーション内メール
暗証番号
2 . 汚染データかどうかをチ
ェックしていない場合、処理
が進み、データベースの検索
や更新のSQL文が汚染データ
とともに形づくられる。
1 . 悪意あるユーザが、開発者の
意図していないデータ（＝SQL）
select カード番号 from 顧客情報
をわざと入力(※)する。
where メール = ‘
例：メールとして以下を入力：
sa@coverity.com’ OR ‘1’=’1
’ AND 暗証番号=‘1234’ s a @ c o v e r ity .c o m ’ OR ‘1’='1
顧客情報データベース

メールカード番号
※通常はフォーム入力などを行わず、
暗証番号 3 . 本来はメールと暗証番号
http://sample.com/list?mail=’ OR ’1′=’1
sa@ co v... 1012 8 9 0 3 ... の組合せが必要だが、条件文
yu k io @ ... 4649 6 7 6 9 ... などで、直接サーバにアクセスする
sju n g @ ... 8015 8 9 0 3 ...
にO R が埋め込まれたため、
sn ish i@ ... 0721 6 9 6 9 ... 暗証番号が合致しなくても顧
客情報が参照可能に。

クロスサイトスクリプティング（XSS）と
は？

1 . 悪意あるユーザが、不正なスク
リプトを含むU R Lをメールで送信
2 . 信頼しているサイトだと勘違い
し、不正なスクリプトを脆弱性の
W eb アプリケーション内あるサイトに送信。

暗証番号
を入力
3 . 不正なスクリプトをチェックしして下さい
ていない場合、それを実行する
OK
脆弱性のある W eb アプリケーションページを生成してしまう。

暗証番号

※他にも脆弱性のあるサイトに攻撃させ
4 . 信頼しているサイトのつもりるなど、複数の手口があります。

が、実はスクリプトによって、他
の場所に情報を送信。

ソフトウェア開発プロジェクト自体にも
セキュリティの対処を遅らせる問題が
存在している

なぜセキュリティ脆弱性は回避しづらいのか
セキュリティ不具合のテストは開発の後工程で行われる

コードコードコード開発の
変更 #1 変更 #2 変更 #3 完了

開発サイクル

品質の確認品質の確認品質の確認品質 +
セキュリティ
の確認
出荷遅延、脆弱性検出が見逃されるリスクの増加

開発者とセキュリティチームは視点が違う
“なぜ、Web セキュリティの問題が
早期に発見さず、また修正されていない
と思いますか？”

セキュリティ監査
開発者

 #1: 時間的なプレッシャー  #1: 開発者がセキュリティに対して非協力的
 #2: セキュリティ脆弱性を発見するツールや技術  #2: 時間的なプレッシャー
がない


開発プロセス全体で
継続的なセキュリティテストを

コードコードコード開発の
変更 #1 変更 #2 変更 #3 完了

開発サイクル

品質 + 品質 + 品質 + 品質 +
セキュリティセキュリティセキュリティセキュリティ
の確認の確認の確認の確認


Coverity Development Testing Platform
解析 | 修正 | 統制

解析パッケージ SDLC 統合
Policy Manager
サードパーティ
Dynamic メトリクス
Analysis
IDE
Coverity Connect
コード
カバレッジ
Architecture
Analysis テスト

Quality Security Test
実行

解析結果統合
Advisor Advisor Advisor ビルド/
継続的統合
FindBugs™ |
FxCop バグ
トラッキング

SCM
解析結果統合
ツールキット Coverity SAVE™ ALM 連携
HP | IBM
Static Analysis Verification Engine

商用コード | オープンソースコード
24

Coverity Security Advisor (Java)

• Security Advisor は
Webアプリケーション内の

• 汚染データ（Tainted Data = 悪意あるデータ）の
入り口と経路、および到達点を突き止め、
• 悪意あるデータがコード内でチェックされている
かを確認し、
• 脆弱性が存在する場合は、修正方法を提示する

SQLi, CMDi, XSS を解決する３つの機能
現サポートフレームワーク
高速、全パス解析を（Java7対応）
行う高精度静的解析 Spring MVC 2.x, 3.x
エンジン Java EE
JDBC, Spring JDBC
Hibernate, JPA
JSP

汚染データが利用され汚染データの入り口
るコンテキストで必要 (Source)、その経路と
となるエスケーパや修到達点(Sink)を異種フ
正方法を提示 Source から汚染データレームワーク間を超え
を注入、Sink到達までて確認
にデータチェックや、サ
ニタイズさるかを確認

フレームワークアナライザ
HTTP リクエスト

フレームワークを Web アプリケーション
理解しなければ、
Data
汚染データの Access
入口、経路、到達点 Model
Controller
を知ることができない View
Resolver
View

現サポートフレームワーク
（Java7対応）
Spring MVC 2.x, 3.x
Java EE Model View Technology View
JDBC, Spring JDBC
Hibernate, JPA
JSP

HTTP レスポンス

ホワイトボックスファザーとサニタイズ
a b c d …
< > & “ ‘
発見した汚染データの侵入経路に
汚染データを投入し、
無害化されているかを
自動的に確認する
htmlEncode()

< > & " '

a b c d …

コベリティが開発したエスケーパーをオープンソースに：
https://github.com/coverity/coverity-security-library/tree/gh-pages
28

的確なルート情報と修正方法の提示

入り口 (so u rce)

経路

サニタイズすべき箇所

修正方法の提示

Developers
Summit

少しでも、コードに自信が持てるように。


Developers
Summit
意識することから始めよう
MY RECOMMEND NEXT ACTION!

• セキュリティに関連するインシデントがある？
• セキュアコーディングガイドがある？
• ペネトレーションテストが実施されている？
• 発見された脆弱性を修正できる情報があ
る？
• セキュリティについて以前より意識しよう


デブサミ2013【15-A-6】増加するセキュリティ脆弱性の解決策

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Andere mochten auch

Andere mochten auch (20)

Ähnlich wie デブサミ2013【15-A-6】増加するセキュリティ脆弱性の解決策

Ähnlich wie デブサミ2013【15-A-6】増加するセキュリティ脆弱性の解決策 (20)

Mehr von Developers Summit

Mehr von Developers Summit (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (9)

デブサミ2013【15-A-6】増加するセキュリティ脆弱性の解決策