シフトレフト戦略と沖縄県
•
1 recomendación•927 vistas
2017年3月23日「沖縄サイバーセキュリティネットワークセミナー IoT時代におけるセキュリティビジネスの創出に向けて」における講演
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Destacado
Más de Riotaro OKADA
Más de Riotaro OKADA (20)
Último
Último (12)
シフトレフト戦略と沖縄県
- 1. シフトレフト戦略と沖縄県 OWASP Japan Lead Hardening Project オーガナイザ 株式会社アスタリスク・リサーチ 岡田良太郎 riotaro@owasp.org Enabling Security ©Asterisk Research, Inc. 1
- 2. Enabling Security ©Asterisk Research, Inc. 2 産経新聞 平成29年3月14日 生活面 ２週間で５千ダウンロード超と、このジャ ンルの本としては記録的な数字を示した。 検索：NO MORE 情報漏えい
- 5. • OWASP NAGOYA 2017 設立予定 • OWASP FUKUSHIMA 2016 金子正人・山寺純 • OWASP OKINAWA 淵上真一・又吉伸穂 • OWASP SENDAI 2015 小笠貴晴・佐藤ようすけ • OWASP KYUSHU 2015 服部 祐一・花田智洋 • OWASP KANSAI 2014 長谷川陽介・斉藤太一・三木剛 • OWASP JAPAN 2011 岡田良太郎・上野宣 ⽇本のチャプター (地域の集まり)
- 6. OWASP Top 10 グローバルで⼤⼈気 ©2016 Asterisk Research, Inc. 6 出典：SANS Institute (2015)
- 7. https://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project • アタックサーフィスの概説 • 脅威エージェント • 攻撃の経路（アタックベクター） • セキュリティの弱点 • 技術面のインパクト • ビジネス面のインパクト • 脆弱性の例 • 攻撃の例 • この問題を避けるガイダンス • OWASP、他のリソース・参照情報 • 製造者、開発者、消費者それぞれ が考慮すべきことのリスト I1 安全でないウェブインターフェース I2 欠陥のある認証・認可機構 I3 安全でないネットワークサービス I4 通信路の暗号化の欠如 I5 プライバシー I6 安全でないクラウドインターフェース I7 弱いモバイルインターフェース I8 設定の不備 I9 ソフトウェア・ファームウェアの問題 I10 物理的な問題 OWASP Internet of Things Project
- 8. OWASP OpenSAMM 77項⽬で開発運⽤チームの強度を調べる ©2015 Asterisk Research, Inc.8 ソフトウェア開発 ガバナンス 構築 検証 デプロイ 戦略＆指標 ポリシー＆コンプライアンス 教育＆指導 脅威の査定 セキュリティー要件 セキュアなアーキテクチャ 設計レビュー コードレビュー セキュリティテスト 脆弱性管理 環境の堅牢化 運用体制の セキュリティ対応 ep s
- 11. 脅威 vs 対策 % of Attacks 90% データ侵害の原因 95% 5% 報告されたセキュリ ティ侵害の原因の 95％はアプリケー ション層 検査した95％以上 のサイトは深刻な脆 弱性を抱えている NIST アプリケーションの セキュリティ確保に 気を配っていない。 セキュリティ関連支出 の大半がネットワーク に費やされている。 Network Applications % of Dollars セキュリティ支出 10% 90%
- 18. 98% or 68% Enabling Security ©Asterisk Research, Inc. 18
- 21. シフトレフト！ 0 20 40 60 80 100 設計 構築 検証 運用 1 6.5 15 対応コスト 100 ©Asterisk Research, Inc. 21 SHIFT LEFT 原因85
- 22. 事前の策：OWASP Proactive Controls Enabling Security ©2016 Asterisk Research, Inc. 22 OWASP Top 10 Proactive Controls 2016 1: 早期に、繰り返しセキュリティを検証する 2: クエリーのパラメータ化 3: データのエンコーディング 4: すべての⼊⼒値を検証する 5: アイデンティティと認証管理の実装 6: 適切なアクセス制御の実装 7: データの保護 8: ロギングと侵⼊検知の実装 9: セキュリティフレームワークやライブラリの活⽤ 10: エラー処理と例外処理 ⽇本語もあります https://www.owasp.org/images/a/a8/OWASPTop10ProactiveControls2016-Japanese.pdf
- 23. 1000:1
- 24. システムコードの90％
- 25. • WordPress: 423,759 • PHP: 3,617,916 • Apache: 1,832,007 • Linux: 18,963,973
- 27. DevSecOps = 開発 x セキュリティ x 運⽤ ビジネス要件 カイハツ 運用 セキュリティ ウォーター フォール アジャイル DevOps DevSecOps !
- 28. 予防的開発 x 繰り返し検証 x 連携運⽤ Ops Sec Dev Enabling Security ©Asterisk Research, Inc. 28 1. 予防的開発： リスクとポリシー ガイドラインと教育 適した材料選び 2. 繰り返し検証： ⾃動ツールの活⽤ 最短時間で問題認識 検証結果の統合と共有 3. デプロイ・運⽤： 確実なアップデート 正常と異常の⾒極め 開発へのフィードバック
- 29. SUMMARY
- 30. 1. ハイブリッド
- 31. 2. セキュリティバイデザイン
- 32. 3. セキュリティは総⼒戦
- 38. 重点分野