Gotanda.pm 2016/3/30 発表資料

1. OWASP
Proactive Controls 2016のご紹介
2016/3/30 Gotanda.pm
@mahoyaya

2. @mahoyaya
 Name: Daiki Ichinose
 Work : NWインフラ(?)
 Favorite: DIY
 Twitter: @mahoyaya
 blog: http://mahoyaya.hateblo.jp
 GitHub: https://github.com/mahoyaya
 Other:
OWASP Japan プロモーションチーム JOIN ⇐ NEW

3. 質問
OWASP知っていますか？？？

4. What is OWASP?
OWASPは安全なソフトウェアの設計・開発・習 得・運用と維持
に関する活動を支援する、非営利の団体。
OWASPのツールやドキュメ ントなど、すべての成果物は無料で
利用可能。

5. 国際的なコミュニティ

6. 日本では？
OWASP Japan 2012.3
OWASP Kansai 2014.3
OWASP Kyushu 2015.3
OWASP Sendai ⇐ NEW
OWASP Fukushima ⇐ NEW
OWASP Okinawa ⇐ NEW
OWASP NightやOWASP DAYといった定期的な勉強会を実施し
ています。

7. どんなプロジェクトがあるの？
現時点で100以上の成果物が公開されています
https://www.owasp.org/index.php/Category:OWASP_Project

8. OWASPの成果物を利用しよう！

9. 日本独自の成果物

10. プロモーションチーム松本さん主催の勉強会
https://security-testing.doorkeeper.jp
脆弱性診断ツール OWASP ZAPの使い方も教えてくれます

11. 直近の開催予定
https://security-testing.doorkeeper.jp

12. OWASP Proactive Controls 2016日本語版リリース！！
https://www.owasp.org/images/a/a8/OWASPTop10ProactiveControls2016-Japanese.pdf

13. Proactive Controls 2016の紹介

14. PROACTIVE CONTROLSとは？
Proactive Controls 2016で列挙しているセキュリティ概念は、
すべてのソフトウェア開発プロジェクトで考慮しなければな
らないもの

15. すべてのソフ トウェア開発プロジェク
トで考慮しなければならないもの
 1.早期に、繰り返しセキュリティを検証する
 2.クエリーのパラメータ化
 3.データのエンコーディング
 4.すべての入力値を検証する
 5.アイデンティティと認証管理の実装
 6.適切なアクセス制御の実装
 7.データの保護
 8.ロギングと侵入検知の実装
 9.セキュリティフレームワークやライブラリの活用
 10.エラー処理と例外処理
今日はここ

16. 1.早期に、繰り返しセキュリティを検証する
「早期に、繰り返しセキュリティを検証」とは、脆弱性の検
査を開発プロセスの中で繰り返し行うべきであるということ。

17. 2.クエリーのパラメータ化
“静的”プレースホルダを使うべきであるということ
抜粋：
SQLインジェクションを防ぐには、信頼できない入力値がSQLコマンド
の一部として解釈されるのを避ける必要があります。最も良い方法は
「クエリーのパラメータ化」と呼ばれる実装方法です。この方法では、
SQLの問い合わせ構文とパラメータは、それぞれ別々にデータベース
サーバーに送信され、データベース上で解析されます。
※構文とパラメータが別々にDBへ送信されるのは静的プレースホルダのみ

18. なぜ静的である必要があるのか？
動的プレースホルダ（俗にいうクライアントサイド・プリペアードス
テートメント）は、呼び出し側でSQLを構文解析するため、API仕様と
して構文解析が適切でなかった場合に問題が発生する可能性を秘めてい
る。
これに対して静的プレースホルダは、データベースサーバ上で構文を
「確定」させてからパラメータを挿入するため、理論上インジェクショ
ンの余地が無い。

19. 具体的にどうするの？
抜粋：
Rails、Django、Node.jsといったフレームワークでは、データベースと
のやりとりにはORモ デル(Object-Relationalモデル)が採用されています。
ORモデルを採用しているこれらのフ レームワークでは、データの参照
や更新の際には自動的にクエリーのパラメータ化が行わ れています。
しかし、OQLやHQLといったオブジェクトクエリーにユーザーからの入
力値を 用いる場合は注意が必要です。これ以外にもフレームワークが
サポートしている形式があ れば、同様に注意する必要があります。

20. (ﾟдﾟ ) Perlは？

21. Perl＋MySQLをゆるふわに静的にしてみた
my $dbh = DBI->connect( 'DBI:mysql:database=xxx;host=xxx;mysql_server_prepare=1;mysql_enable_utf8=1',
'xxxx', 'xxxx');
if (! $dbh) { is_error(); }
my $sql = "INSERT INTO foo (bar, baz) VALUES ( ?, ? )";
my $sth = $dbh->prepare( $sql );
$sth->execute( $bar, $baz );

22. でも、DBIをそのままで使わないよね

23. 俺達のAniki
my $db = MyProj::DB->new(connect_info =>
["dbi:mysql:dbname=mydb;host=$dbhost;port=$dbport:mysql_server_prepare=1;mysql_use_utf8=1;", “user",
“pass"]);

24. システム要件を加味した上で、
可能な限り”静的”プレースホルダを使いましょう

25. ありがとうございました
WEBをたしかなものに