Enviar búsqueda
Cargar
継続的Webセキュリティテスト testing casual talks2
•
9 recomendaciones
•
4,919 vistas
ichikaway
Seguir
継続的Webセキュリティテストの話 Testing Casual Talks2の発表資料
Leer menos
Leer más
Internet
Denunciar
Compartir
Denunciar
Compartir
1 de 32
Descargar ahora
Descargar para leer sin conexión
Recomendados
Vaddyサービス説明資料
Vaddyサービス説明資料
katsuya nishino
Jenkinsを使った継続的セキュリティテスト
Jenkinsを使った継続的セキュリティテスト
ichikaway
継続的セキュリティテストVaddy説明資料
継続的セキュリティテストVaddy説明資料
ichikaway
VAddy - CI勉強会 fukuoka
VAddy - CI勉強会 fukuoka
ichikaway
脆弱性もバグ、だからテストしよう!
脆弱性もバグ、だからテストしよう!
ichikaway
脆弱性もバグ、だからテストしよう DevSummiFukuoka
脆弱性もバグ、だからテストしよう DevSummiFukuoka
ichikaway
phpcon kansai 20140628
phpcon kansai 20140628
ichikaway
Owasp Project を使ってみた
Owasp Project を使ってみた
Akitsugu Ito
Recomendados
Vaddyサービス説明資料
Vaddyサービス説明資料
katsuya nishino
Jenkinsを使った継続的セキュリティテスト
Jenkinsを使った継続的セキュリティテスト
ichikaway
継続的セキュリティテストVaddy説明資料
継続的セキュリティテストVaddy説明資料
ichikaway
VAddy - CI勉強会 fukuoka
VAddy - CI勉強会 fukuoka
ichikaway
脆弱性もバグ、だからテストしよう!
脆弱性もバグ、だからテストしよう!
ichikaway
脆弱性もバグ、だからテストしよう DevSummiFukuoka
脆弱性もバグ、だからテストしよう DevSummiFukuoka
ichikaway
phpcon kansai 20140628
phpcon kansai 20140628
ichikaway
Owasp Project を使ってみた
Owasp Project を使ってみた
Akitsugu Ito
Klocwork カスタムチェッカー紹介
Klocwork カスタムチェッカー紹介
Masaru Horioka
OWASP ASVS Project review 2.0 and 3.0
OWASP ASVS Project review 2.0 and 3.0
Riotaro OKADA
Vuls×deep security
Vuls×deep security
一輝 長澤
Klocwork 2017.1アップデート
Klocwork 2017.1アップデート
Masaru Horioka
Vulsで危険な脆弱性を最速検知!(The fastest detection of dangerous vulnerability by Vuls! )
Vulsで危険な脆弱性を最速検知!(The fastest detection of dangerous vulnerability by Vuls! )
Takayuki Ushida
20171122_VAddyMeetUp_EC-CUBEでのVAddy活用事例
20171122_VAddyMeetUp_EC-CUBEでのVAddy活用事例
EC-CUBE
Vulsで始めよう!DevSecOps!
Vulsで始めよう!DevSecOps!
Takayuki Ushida
脆弱性スキャナVuls(入門編)
脆弱性スキャナVuls(入門編)
Takayuki Ushida
オワスプナイト20150115 dependency check
オワスプナイト20150115 dependency check
Hiroaki Kuramochi
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
Kota Kanbe
PHPとTravis CIでブラウザテスト
PHPとTravis CIでブラウザテスト
Yusuke Ando
iOSにおけるコードレビューを一歩先へ進める
iOSにおけるコードレビューを一歩先へ進める
Shunsuke Maeda
jenkinsのすゝめ - 継続的インテグレーションと継続的デリバリー
jenkinsのすゝめ - 継続的インテグレーションと継続的デリバリー
Junya Suzuki
Dangerでpull requestレビューの指摘事項を減らす
Dangerでpull requestレビューの指摘事項を減らす
Shunsuke Maeda
iOSアプリ開発のテスト環境 - テストをはじめる最初の一歩 -
iOSアプリ開発のテスト環境 - テストをはじめる最初の一歩 -
Toshiyuki Hirata
Web Componentsのアクセシビリティ
Web Componentsのアクセシビリティ
Mitsue-Links Co.,Ltd. Accessibility Department
静的解析ツールKlocwork によるCERT-C/CWE対応
静的解析ツールKlocwork によるCERT-C/CWE対応
Masaru Horioka
継続的デリバリーと読み解く Web 開発あるあるとその対策
継続的デリバリーと読み解く Web 開発あるあるとその対策
Tetsuo Yamabe
脆弱性スキャナVulsで始めるセキュリティ対策
脆弱性スキャナVulsで始めるセキュリティ対策
Takayuki Ushida
Jenkinsを使った初めての継続的インテグレーション
Jenkinsを使った初めての継続的インテグレーション
dcubeio
継続的Webセキュリティテスト PHPカンファレンス関西2015 LT
継続的Webセキュリティテスト PHPカンファレンス関西2015 LT
ichikaway
脆弱性もバグ、だからテストしよう PHPカンファンレス2015
脆弱性もバグ、だからテストしよう PHPカンファンレス2015
ichikaway
Más contenido relacionado
La actualidad más candente
Klocwork カスタムチェッカー紹介
Klocwork カスタムチェッカー紹介
Masaru Horioka
OWASP ASVS Project review 2.0 and 3.0
OWASP ASVS Project review 2.0 and 3.0
Riotaro OKADA
Vuls×deep security
Vuls×deep security
一輝 長澤
Klocwork 2017.1アップデート
Klocwork 2017.1アップデート
Masaru Horioka
Vulsで危険な脆弱性を最速検知!(The fastest detection of dangerous vulnerability by Vuls! )
Vulsで危険な脆弱性を最速検知!(The fastest detection of dangerous vulnerability by Vuls! )
Takayuki Ushida
20171122_VAddyMeetUp_EC-CUBEでのVAddy活用事例
20171122_VAddyMeetUp_EC-CUBEでのVAddy活用事例
EC-CUBE
Vulsで始めよう!DevSecOps!
Vulsで始めよう!DevSecOps!
Takayuki Ushida
脆弱性スキャナVuls(入門編)
脆弱性スキャナVuls(入門編)
Takayuki Ushida
オワスプナイト20150115 dependency check
オワスプナイト20150115 dependency check
Hiroaki Kuramochi
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
Kota Kanbe
PHPとTravis CIでブラウザテスト
PHPとTravis CIでブラウザテスト
Yusuke Ando
iOSにおけるコードレビューを一歩先へ進める
iOSにおけるコードレビューを一歩先へ進める
Shunsuke Maeda
jenkinsのすゝめ - 継続的インテグレーションと継続的デリバリー
jenkinsのすゝめ - 継続的インテグレーションと継続的デリバリー
Junya Suzuki
Dangerでpull requestレビューの指摘事項を減らす
Dangerでpull requestレビューの指摘事項を減らす
Shunsuke Maeda
iOSアプリ開発のテスト環境 - テストをはじめる最初の一歩 -
iOSアプリ開発のテスト環境 - テストをはじめる最初の一歩 -
Toshiyuki Hirata
Web Componentsのアクセシビリティ
Web Componentsのアクセシビリティ
Mitsue-Links Co.,Ltd. Accessibility Department
静的解析ツールKlocwork によるCERT-C/CWE対応
静的解析ツールKlocwork によるCERT-C/CWE対応
Masaru Horioka
継続的デリバリーと読み解く Web 開発あるあるとその対策
継続的デリバリーと読み解く Web 開発あるあるとその対策
Tetsuo Yamabe
脆弱性スキャナVulsで始めるセキュリティ対策
脆弱性スキャナVulsで始めるセキュリティ対策
Takayuki Ushida
Jenkinsを使った初めての継続的インテグレーション
Jenkinsを使った初めての継続的インテグレーション
dcubeio
La actualidad más candente
(20)
Klocwork カスタムチェッカー紹介
Klocwork カスタムチェッカー紹介
OWASP ASVS Project review 2.0 and 3.0
OWASP ASVS Project review 2.0 and 3.0
Vuls×deep security
Vuls×deep security
Klocwork 2017.1アップデート
Klocwork 2017.1アップデート
Vulsで危険な脆弱性を最速検知!(The fastest detection of dangerous vulnerability by Vuls! )
Vulsで危険な脆弱性を最速検知!(The fastest detection of dangerous vulnerability by Vuls! )
20171122_VAddyMeetUp_EC-CUBEでのVAddy活用事例
20171122_VAddyMeetUp_EC-CUBEでのVAddy活用事例
Vulsで始めよう!DevSecOps!
Vulsで始めよう!DevSecOps!
脆弱性スキャナVuls(入門編)
脆弱性スキャナVuls(入門編)
オワスプナイト20150115 dependency check
オワスプナイト20150115 dependency check
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
PHPとTravis CIでブラウザテスト
PHPとTravis CIでブラウザテスト
iOSにおけるコードレビューを一歩先へ進める
iOSにおけるコードレビューを一歩先へ進める
jenkinsのすゝめ - 継続的インテグレーションと継続的デリバリー
jenkinsのすゝめ - 継続的インテグレーションと継続的デリバリー
Dangerでpull requestレビューの指摘事項を減らす
Dangerでpull requestレビューの指摘事項を減らす
iOSアプリ開発のテスト環境 - テストをはじめる最初の一歩 -
iOSアプリ開発のテスト環境 - テストをはじめる最初の一歩 -
Web Componentsのアクセシビリティ
Web Componentsのアクセシビリティ
静的解析ツールKlocwork によるCERT-C/CWE対応
静的解析ツールKlocwork によるCERT-C/CWE対応
継続的デリバリーと読み解く Web 開発あるあるとその対策
継続的デリバリーと読み解く Web 開発あるあるとその対策
脆弱性スキャナVulsで始めるセキュリティ対策
脆弱性スキャナVulsで始めるセキュリティ対策
Jenkinsを使った初めての継続的インテグレーション
Jenkinsを使った初めての継続的インテグレーション
Similar a 継続的Webセキュリティテスト testing casual talks2
継続的Webセキュリティテスト PHPカンファレンス関西2015 LT
継続的Webセキュリティテスト PHPカンファレンス関西2015 LT
ichikaway
脆弱性もバグ、だからテストしよう PHPカンファンレス2015
脆弱性もバグ、だからテストしよう PHPカンファンレス2015
ichikaway
アプリの「無事故リリース」を目指して~品質管理部によるSmartBeat活用事例~
アプリの「無事故リリース」を目指して~品質管理部によるSmartBeat活用事例~
CYBIRD Co.,Ltd.
JaSST Niigata'20
JaSST Niigata'20
JumpeiIto2
ビットバンクのデプロイ戦略について
ビットバンクのデプロイ戦略について
bitbank, Inc. Tokyo, Japan
ワンクリックデプロイ101 #ocdeploy
ワンクリックデプロイ101 #ocdeploy
Ryutaro YOSHIBA
ベイジアンネットワークによるウェブ侵入検知 金床 AVTokyo 2013.5
ベイジアンネットワークによるウェブ侵入検知 金床 AVTokyo 2013.5
Tadashi Satoh
デブサミ関西2013【A4】コード品質は曖昧なままか(安竹由起夫氏)
デブサミ関西2013【A4】コード品質は曖昧なままか(安竹由起夫氏)
Developers Summit
Bambooによる継続的デリバリー
Bambooによる継続的デリバリー
グロースエクスパートナーズ株式会社/Growth xPartners Incorporated.
事例からわかる!テスト自動化導入パターン
事例からわかる!テスト自動化導入パターン
友隆 浅黄
Klocworkのご紹介
Klocworkのご紹介
Masaru Horioka
IIJmio meeting 10 端末の動作確認(後編)
IIJmio meeting 10 端末の動作確認(後編)
techlog (Internet Initiative Japan Inc.)
あ! やせいのEmotetがあらわれた! ~ IIJ C-SOCサービスの分析ルールについて~
あ! やせいのEmotetがあらわれた! ~ IIJ C-SOCサービスの分析ルールについて~
IIJ
Cocoa勉強会関西 #54 Crash Report解析サービスを試してみた
Cocoa勉強会関西 #54 Crash Report解析サービスを試してみた
Kei Ito
[data security showcase Sapporo 2015] D23:ホームページ改ざんや情報流出からWEBを守る! ~WAF「SiteGu...
[data security showcase Sapporo 2015] D23:ホームページ改ざんや情報流出からWEBを守る! ~WAF「SiteGu...
Insight Technology, Inc.
ソースコード検査に耐えるコードとは?
ソースコード検査に耐えるコードとは?
Yasuo Ohgaki
価値あるシステムテスト自動化の実現By friendly
価値あるシステムテスト自動化の実現By friendly
Tatsuya Ishikawa
AWSでのセキュリティ運用 ~IAM,VPCその他
AWSでのセキュリティ運用 ~IAM,VPCその他
Recruit Technologies
「効率・品質・統制」の共通課題に着目した現場主導によるITS導入の効果検証
「効率・品質・統制」の共通課題に着目した現場主導によるITS導入の効果検証
Kuniharu(州晴) AKAHANE(赤羽根)
OSSで作る機械学習を用いたペネトレーションテストツール
OSSで作る機械学習を用いたペネトレーションテストツール
Isao Takaesu
Similar a 継続的Webセキュリティテスト testing casual talks2
(20)
継続的Webセキュリティテスト PHPカンファレンス関西2015 LT
継続的Webセキュリティテスト PHPカンファレンス関西2015 LT
脆弱性もバグ、だからテストしよう PHPカンファンレス2015
脆弱性もバグ、だからテストしよう PHPカンファンレス2015
アプリの「無事故リリース」を目指して~品質管理部によるSmartBeat活用事例~
アプリの「無事故リリース」を目指して~品質管理部によるSmartBeat活用事例~
JaSST Niigata'20
JaSST Niigata'20
ビットバンクのデプロイ戦略について
ビットバンクのデプロイ戦略について
ワンクリックデプロイ101 #ocdeploy
ワンクリックデプロイ101 #ocdeploy
ベイジアンネットワークによるウェブ侵入検知 金床 AVTokyo 2013.5
ベイジアンネットワークによるウェブ侵入検知 金床 AVTokyo 2013.5
デブサミ関西2013【A4】コード品質は曖昧なままか(安竹由起夫氏)
デブサミ関西2013【A4】コード品質は曖昧なままか(安竹由起夫氏)
Bambooによる継続的デリバリー
Bambooによる継続的デリバリー
事例からわかる!テスト自動化導入パターン
事例からわかる!テスト自動化導入パターン
Klocworkのご紹介
Klocworkのご紹介
IIJmio meeting 10 端末の動作確認(後編)
IIJmio meeting 10 端末の動作確認(後編)
あ! やせいのEmotetがあらわれた! ~ IIJ C-SOCサービスの分析ルールについて~
あ! やせいのEmotetがあらわれた! ~ IIJ C-SOCサービスの分析ルールについて~
Cocoa勉強会関西 #54 Crash Report解析サービスを試してみた
Cocoa勉強会関西 #54 Crash Report解析サービスを試してみた
[data security showcase Sapporo 2015] D23:ホームページ改ざんや情報流出からWEBを守る! ~WAF「SiteGu...
[data security showcase Sapporo 2015] D23:ホームページ改ざんや情報流出からWEBを守る! ~WAF「SiteGu...
ソースコード検査に耐えるコードとは?
ソースコード検査に耐えるコードとは?
価値あるシステムテスト自動化の実現By friendly
価値あるシステムテスト自動化の実現By friendly
AWSでのセキュリティ運用 ~IAM,VPCその他
AWSでのセキュリティ運用 ~IAM,VPCその他
「効率・品質・統制」の共通課題に着目した現場主導によるITS導入の効果検証
「効率・品質・統制」の共通課題に着目した現場主導によるITS導入の効果検証
OSSで作る機械学習を用いたペネトレーションテストツール
OSSで作る機械学習を用いたペネトレーションテストツール
Más de ichikaway
forteeに脆弱性検査をかけてみた VAddy編
forteeに脆弱性検査をかけてみた VAddy編
ichikaway
Understanding Computer Architecture with NES Emulator
Understanding Computer Architecture with NES Emulator
ichikaway
VAddyの課金システムを Stripeに乗り換えた話
VAddyの課金システムを Stripeに乗り換えた話
ichikaway
Hello, Worldまで3ヶ月 Golangでファミコンエミュレータ実装 #gocon fukuoka 2019
Hello, Worldまで3ヶ月 Golangでファミコンエミュレータ実装 #gocon fukuoka 2019
ichikaway
ゼロから始めるファミコンエミュレータ生活 PHPerKaigi2019
ゼロから始めるファミコンエミュレータ生活 PHPerKaigi2019
ichikaway
現場で使える脆弱性検査サービス VAddy
現場で使える脆弱性検査サービス VAddy
ichikaway
OS入門 Fukuoka.php vol.18 LT資料
OS入門 Fukuoka.php vol.18 LT資料
ichikaway
Yapc8oji: セキュリティテストサービスを開発運営してきた2年
Yapc8oji: セキュリティテストサービスを開発運営してきた2年
ichikaway
VAaddyとは VAddyミートアップvol3_20160629
VAaddyとは VAddyミートアップvol3_20160629
ichikaway
Vulnerabilities are bugs, Let's test for them!
Vulnerabilities are bugs, Let's test for them!
ichikaway
Ctf2015 ichikawa Eizoku PM2.5 dial
Ctf2015 ichikawa Eizoku PM2.5 dial
ichikaway
VAddy at LL Diver LT
VAddy at LL Diver LT
ichikaway
福岡xTwilio twilio meetup
福岡xTwilio twilio meetup
ichikaway
Nginxを使ったオレオレCDNの構築
Nginxを使ったオレオレCDNの構築
ichikaway
phpcon2013 PHP x twilio
phpcon2013 PHP x twilio
ichikaway
fukuokaphp7 PHP x twilio
fukuokaphp7 PHP x twilio
ichikaway
CakePHPのレールの外し方 (CakePHP勉強会@uluru 20130419)
CakePHPのレールの外し方 (CakePHP勉強会@uluru 20130419)
ichikaway
デザイナー、フロントエンジニア向けgithub勉強会ワークショップ資料
デザイナー、フロントエンジニア向けgithub勉強会ワークショップ資料
ichikaway
デザイナー、フロントエンジニア向けgithub勉強会資料 概要編
デザイナー、フロントエンジニア向けgithub勉強会資料 概要編
ichikaway
CakePHP 1 to 2 Migration tips 100
CakePHP 1 to 2 Migration tips 100
ichikaway
Más de ichikaway
(20)
forteeに脆弱性検査をかけてみた VAddy編
forteeに脆弱性検査をかけてみた VAddy編
Understanding Computer Architecture with NES Emulator
Understanding Computer Architecture with NES Emulator
VAddyの課金システムを Stripeに乗り換えた話
VAddyの課金システムを Stripeに乗り換えた話
Hello, Worldまで3ヶ月 Golangでファミコンエミュレータ実装 #gocon fukuoka 2019
Hello, Worldまで3ヶ月 Golangでファミコンエミュレータ実装 #gocon fukuoka 2019
ゼロから始めるファミコンエミュレータ生活 PHPerKaigi2019
ゼロから始めるファミコンエミュレータ生活 PHPerKaigi2019
現場で使える脆弱性検査サービス VAddy
現場で使える脆弱性検査サービス VAddy
OS入門 Fukuoka.php vol.18 LT資料
OS入門 Fukuoka.php vol.18 LT資料
Yapc8oji: セキュリティテストサービスを開発運営してきた2年
Yapc8oji: セキュリティテストサービスを開発運営してきた2年
VAaddyとは VAddyミートアップvol3_20160629
VAaddyとは VAddyミートアップvol3_20160629
Vulnerabilities are bugs, Let's test for them!
Vulnerabilities are bugs, Let's test for them!
Ctf2015 ichikawa Eizoku PM2.5 dial
Ctf2015 ichikawa Eizoku PM2.5 dial
VAddy at LL Diver LT
VAddy at LL Diver LT
福岡xTwilio twilio meetup
福岡xTwilio twilio meetup
Nginxを使ったオレオレCDNの構築
Nginxを使ったオレオレCDNの構築
phpcon2013 PHP x twilio
phpcon2013 PHP x twilio
fukuokaphp7 PHP x twilio
fukuokaphp7 PHP x twilio
CakePHPのレールの外し方 (CakePHP勉強会@uluru 20130419)
CakePHPのレールの外し方 (CakePHP勉強会@uluru 20130419)
デザイナー、フロントエンジニア向けgithub勉強会ワークショップ資料
デザイナー、フロントエンジニア向けgithub勉強会ワークショップ資料
デザイナー、フロントエンジニア向けgithub勉強会資料 概要編
デザイナー、フロントエンジニア向けgithub勉強会資料 概要編
CakePHP 1 to 2 Migration tips 100
CakePHP 1 to 2 Migration tips 100
継続的Webセキュリティテスト testing casual talks2
1.
Copyright (c)
Bitforest Co., Ltd. 継続的Webセキュリティテスト VAddy 2015/2/19 VAddy Meetup 1 Testing Casual Talks #2 ! 株式会社ビットフォレスト 市川
2.
Copyright (c)
Bitforest Co., Ltd. 自己紹介 • 市川 • @cakephper / @ichikaway • 福岡在住 2
3.
Copyright (c)
Bitforest Co., Ltd. 忘れがちなテスト • セキュリティテスト • 今回はWebの脆弱性検査の話 • パフォーマンステスト • loader.ioなど 3
4.
Copyright (c)
Bitforest Co., Ltd. Webセキュリティテスト • ホワイトボックス • ソースコード解析(ex. brakeman) • ブラックボックス • 攻撃用HTTPリクエストを送信してレスポ ンスを確認 • ex. VAddy, OWASP ZAP, AppScan 4
5.
Copyright (c)
Bitforest Co., Ltd. OWASP ZAP 5
6.
Copyright (c)
Bitforest Co., Ltd. セキュリティテスト 現状の問題点 6 開発チーム 外部の診断会社 社内の専門チーム コーディング 単体テスト 結合テスト 脆弱性診断 開発チーム 修正 リリース 問題点 ! • リリース直前に大量の脆弱性発見 • スケジュール遅延 • リリース後の修正・機能追加 • 診断が難しい(コスト・期間)
7.
Copyright (c)
Bitforest Co., Ltd. 7 理想的には 開発初期から リリース後まで
8.
Copyright (c)
Bitforest Co., Ltd. 8 継続的な セキュリティテスト が必要
9.
Copyright (c)
Bitforest Co., Ltd. 世界の流れ • Google • GTAC 2013: Finding XSS at Google Scale • 社内で独自ツールを使ってチャレンジ中 • https://www.youtube.com/watch?v=rd5TZKRg-‐lc 9
10.
Copyright (c)
Bitforest Co., Ltd. 世界の流れ • カーネギーメロン大学ソフトウェア工学部 • http://blog.sei.cmu.edu/post.cfm/security-‐ continuous-‐integration-‐338 10
11.
Copyright (c)
Bitforest Co., Ltd. 継続的Webセキュリティテスト 11 開発チーム 外部の診断会社 社内の専門チーム コーディング 単体テスト 結合テスト 脆弱性診断 開発チーム 修正 リリース 継続的セキュリティテスト 開発チーム コーディング 単体テスト 結合テスト リリース 脆弱性診断 本リリース前には、診断会社の診断を。
12.
Copyright (c)
Bitforest Co., Ltd. 継続的Webセキュリティテストの課題 • 既存のツールを使う場合 • CIのフローに乗せるのが大変 • 検査に時間がかかる • 設定項目が多くノウハウを貯める必要 12
13.
Copyright (c)
Bitforest Co., Ltd. 重要ポイント 13 アプリケーションの動作を 検査ツールが把握して 検査できなければ まったく意味がない
14.
Copyright (c)
Bitforest Co., Ltd. 14 簡単に導入 運用が不要 効果的な検査 CIサイクルに組込み
15.
Copyright (c)
Bitforest Co., Ltd. 15 継続的Webセキュリティテストサービス Vulnerability Assessment is your Buddy (脆弱性診断はあなたの相棒) http://vaddy.net
16.
Copyright (c)
Bitforest Co., Ltd. VAddyの特徴 • ブラックボックスのWeb脆弱性診断 • インストール不要(SaaS) • CI連携を前提に設計 • WebAPI連携 • 無人の運用が必須 16
17.
Copyright (c)
Bitforest Co., Ltd. よくある構成 17
18.
Copyright (c)
Bitforest Co., Ltd. VAddyの特徴 18 特別な設定なしでVAddyが アプリケーションの動作を理解して 正確に検査できるように
19.
Copyright (c)
Bitforest Co., Ltd. VAddyの特徴 • セキュリティ検査エンジンを独自開発 • ユーザが行う設定作業を最小限に • 機械学習の機能を持ったエンジン • 無人でもうまく動作 • 常にアップデート 19
20.
Copyright (c)
Bitforest Co., Ltd. 20 継続的な セキュリティテストで 安心してリリースすることが 今後のトレンドになる
21.
Copyright (c)
Bitforest Co., Ltd. 21 まずは VAddyやOWASP ZAP を使って評価 小さく初めてみる
22.
Copyright (c)
Bitforest Co., Ltd. 22 Vulnerability Assessment is your Buddy(脆弱性診断はあなたの相棒) デモ
23.
Copyright (c)
Bitforest Co., Ltd. VAddyの現状(2015/5 現在) • 無料プランのみ提供中 • 何度でもスキャン実行可能 • SQLインジェクション、XSS • Jenkinsプラグイン提供中 • Rubyクライアント提供中 • CircleCI, TravisCI, Codeshipなどに対応 23
24.
Copyright (c)
Bitforest Co., Ltd. 現状、可能な検査(SQLi, XSS) • GET/POST/PUT/DELETEのパラメータの検査 • RestAPI対応、パラメータがJSON対応 • URLパスのパラメータ検査 • www.example.com/item/view/1 • フォーム認証(ログイン画面) • CSRF対策トークン(Angular.jsも含め) • SSL上のアプリケーション 24
25.
Copyright (c)
Bitforest Co., Ltd. 25 http://vaddy.net ご清聴ありがとう ございました
26.
Copyright (c)
Bitforest Co., Ltd. VAddyの操作 3ステップ • STEP1 テスト対象サーバ登録 • Verificationファイルの設置 • STEP2 検査対象のクロール • Webアプリケーションの画面操作 • STEP3 スキャン実行(画面 / WebAPI) • 結果参照 26
27.
Copyright (c)
Bitforest Co., Ltd. クロールとは? 27
28.
Copyright (c)
Bitforest Co., Ltd. クロールとは? 28 アプリケーションの 操作記録を保存 (URL、パラメータ、 ログイン情報など) ブラウザのProxy設 定にてVAddy Proxy をセットし、Web アプリケーション を操作
29.
Copyright (c)
Bitforest Co., Ltd. 何故手動クロールが必要か? • 自動クロールの限界 • 時間がかかる • リンク切れURL • 認証画面情報 • アプリケーション特有の動作 29
30.
Copyright (c)
Bitforest Co., Ltd. • 検査対象のアプリを一番良く知っている人 • お客様(開発者、テスター、発注者) • SeleniumなどのE2Eテストが普及 • このデータをクロールに流用すれば!! 30 何故手動クロールが必要か?
31.
Copyright (c)
Bitforest Co., Ltd. 手動クロールのメリット • 検査漏れ、設定項目を減らす • 検査時間のコントロール • スキャン不要な箇所はクロールしなけれ ばスキャン時間が短縮できる 31
32.
Copyright (c)
Bitforest Co., Ltd. 現状、出来ないこと(順次対応予定) • 蓄積型XSS、Dom based XSSの検査 • SQLインジェクション、XSS以外の検査 • ディレクトリトラバーサル • リモートファイルインクルージョンなど 32
Descargar ahora