ゼロトラスト – yohgaki's blog

Computer, Development, PHP Security, Secure Coding

マイクロサービスアーキテクチャーのSSRF問題とセキュアコーディング

12月 13, 2018 #セキュアコーディング, #ゼロトラスト, #フェイルファースト, #未検証入力投稿者 yohgaki

Webシステムアーキテクチャーとしてマイクロサービスを利用しているケースは随分増えていると思います。従来から一般的に見られるWebアプリの作り方をすると、マイクロサービスではSSRF問題が簡単に発生します。

2017年版OWASP TOP 10ではA10 Insufficient Logging and Monitoringを新しく追加しました。一言でいうと、「未検証入力」を残してしまうアプリは脆弱なアプリである、とするのがA10脆弱性です。マイクロサービスで発生するSSRF問題の主な原因は「未検証入力」です。

「未検証入力」は既存の非マイクロサービスアーキテクチャーのWebアプリでも問題でしたが、マイクロサービスアーキテクチャーの登場によって、「未検証入力」がより重大な脅威になってきたことに対応する意味もあります。マイクロサービスアーキテクチャーで未検証入力を渡してしまうと簡単にSSRF問題が発生します。

※SSRF – Server Side Request Forgery（サーバーによるリクエスト詐称）

Computer, Database, Development, PHP Security, Programming, Secure Coding, Security

リスク分析とリスク対応をしよう

10月 16, 2018 #セキュアコーディング, #セキュリティ標準, #ゼロトラスト, #フェイルセーフ, #フェイルファースト, #ベストプラクティス, #リスク分析, #リスク管理, #入力バリデーション, #出力対策, #未検証入力投稿者 yohgaki

情報セキュリティ対策 ≒ リスクの分析、対応と管理、としても構わないくらい情報セキュリティ対策にとってリスク分析は重要です。体系的にまとめられたセキュリティ対策ガイドラインなら、どれを見ても記載されています。

情報システムは「モノ」（物と人）、「ネットワーク」、「ソフトウェア」で出来ています。それぞれリスクを分析、対応、管理する必要があります。

当然、ソフトウェアのリスク分析も重要です。しかし、多くの場合は「脆弱性対策」という形でリスク分析をせずにいきなり対応する、といったショートカットが開発現場で日常的に行われています。目の前にある問題に直ぐ対応しなければならない！といった場合も多いので仕方ない側面もあります。

しかし、問題は開発工程の早い段階で対応すればするほど、少ないコストで対応できます。システム開発に関わる人なら誰でも認識している事です。できる限り早い段階で早く問題に対応する、は情報システム開発の要求仕様のみでなく、セキュリティ要求仕様にも当てはまります。

※ このブログの説明はWebシステムを前提にしています。STRIDE、DREAD、リスクマトリックスなどのリスク分析手法はISO 31000等を参照してください。このブログでは単純なアタックツリー形のリスク分析を紹介しています。

Computer, Development, PHP Security, Secure Coding, Security

究極のセキュリティ要求事項とは？

10月 14, 2018 #セキュリティ標準, #ゼロトラスト, #フェイルセーフ, #フェイルファースト, #ベストプラクティス, #リスク分析, #リスク管理, #未検証入力投稿者 yohgaki

前のブログでリスク分析について書きました。リスク分析方法を書く前にセキュリティ要求について書きます。ISO 27000では6つのセキュリティ要素が情報セキュリティに必要であるとしています。

Confidentiality – 機密性
Integrity – 完全性
Availability – 可用性
Reliability – 信頼性
Authenticity – 真正性
Non-repudiation – 否認防止 (Accountability – 責任追跡性）

これらが基礎的な情報セキュリティの要求事項になります。以上です。

※ 2014年の改訂でセキュリティのCIAに信頼性、真正性、否認防止を加えたモノが情報セキュリティに必要な要素と定義されています。ISO 13335（古い情報セキュリティ標準）で定義していた要素に戻った形になりました。

これで終わってしまうと何の事なのか？究極の要求事項とは何なのか？となると思います。もう少し説明します。究極の要求事項を知って適用するだけ、でも大きな違いが生まれると思います。

Computer, Development, PHP Security, Programming, Secure Coding, Security

無視されているリスク分析

10月 11, 2018 #ゼロトラスト, #フェイルセーフ, #フェイルファースト, #ベストプラクティス, #リスク分析, #未検証入力投稿者 yohgaki

炎上プロジェクトの主な原因の１つに、システム要求定義が不明確であること、があります。何を作ったらよいのか、よく分らない状態で作って上手く行くのを願うのは、サイコロを振るのと変りありません。

これと同じことが情報セキュリティ対策でも起きています。

致命的な脆弱性が残っているシステムの主たる原因の１つに、セキュリティ要求定義が不明確、ならまだよいのですがセキュリティ要求定義なし、であることが少なくない数あります。IoTやスマートカーのセキュリティを見れば明らかです。セキュリティ要求定義が不明確か無い状態で作った、としか思えない事例が数えきれません。

漏れのないセキュリティ要求定義には漏れのないリスク分析が必要です。

◯◯対策として△△を実施する

といったセキュリティ仕様をセキュリティ要求だと勘違いしているケースも数えきれません。

システム要求定義がないプロジェクトが簡単に炎上するように、セキュリティ要求定義がないシステムも簡単に無視することが不可能な脆弱性だらけのシステムになります。

特にソフトウェアの分野では「リスク分析」が不十分過ぎる、さらには全く無い、システムで溢れています。これでは十分な安全性を効率良く達成することは不可能です。

Computer, Development, PHP Security, Programming, Secure Coding, Security

データフロー分析とセキュリティ

9月 11, 2018 #セキュアコーディング論理, #ゼロトラスト, #フェイルファースト, #ベストプラクティス, #リスク分析, #信頼境界, #入力バリデーション, #出力対策, #境界防御, #契約プログラミング, #未検証入力投稿者 yohgaki

データフロー分析とはコールフローグラフ（CFG）を使ってプログラムを分析する手法です。ソフトウェアのセキュリティ対策にもデータフロー分析は広く利用されています。例えば、静的ソースコード検査ツールは静的（＝プログラムを動作させず）にプログラム実行時のデータフローを分析し、問題を発見する手法です。

コールフローグラフ

データフロー分析の基礎知識はハーバード大学コンピューターサイエンス学科の講義資料（PDF）が参考になります。こちらを参考にしてください。英語の資料ですが容易な内容です。

Computer, Development, PHP Security, Programming, Secure Coding, Security

ゼロトラストとフェイルファースト

8月 31, 2018 #エスケープ, #セキュアコーディング, #セキュアコーディング論理, #ゼロトラスト, #フェイルファースト, #ベストプラクティス, #リスク管理, #信頼境界, #入力バリデーション, #出力対策, #未検証入力投稿者 yohgaki

今のプログラムに足りないモノでセキュリティ向上に最も役立つ考え方のトップ2つ挙げなさない、と言われたらどの概念／原則を挙げるでしょうか？

私なら

ゼロトラスト
フェイルファースト

を挙げます。

極論すると、この2つ知って実践するだけでセキュアなソフトウェアを作れるようになるからです。この2つだけでは十分ではないですが、これを知って、実践しているだけでも開発者は今のコードより段違いにセキュアなコードが自分で書けるようになります。

もう一つ追加するなら

多層防御（縦深防御）

を加えます。これはゼロトラストとフェイルファーストから導き出せる概念です。ゼロトラストとフェイルファーストで検証を行うと自然と多層防御になります。多層防御はセキュリティ対策の基本ですが、特にソフトウェアでは実践されている、とは言えない状況です。

これら3つはとても有用な概念で単純明解な概念ですが、知られていなかったり、誤解されていたりすることが多い概念／原則と言えるかも知れません。

Computer, Development, PHP Security, Secure Coding, Security

ゼロトラストをより細かく分解する

10月 3, 2017 #セキュアコーディング, #セキュアコーディング論理, #ゼロトラスト投稿者 yohgaki

セキュリティを維持する為にはゼロトラスト、何も信頼しない所から始めて信頼できることを検証する、作業が必要です。ゼロトラストは信頼できるモノと信頼できないモノに分ける作業ですが、より細かく考える必要があります。

※ より細かく考える、とはいっても「細かい事だけ」では合成の誤謬にハマります。全体と詳細、両方をバランスよく「ゼロトラスト」することが大切です。

Computer, Development, PHP Security, Programming, Secure Coding

当たり前？非常識？開発者必修のセキュリティ概念 Top 10

9月 11, 2017 #セキュアコーディング論理, #セキュリティ標準, #ゼロトラスト, #フェイルファースト, #ホワイトリスト, #信頼境界, #入力バリデーション, #出力対策, #多層防御投稿者 yohgaki

ITシステム開発者必修のセキュリティ概念 Top 10です。さっと考えたので変更するかも知れません。これらの考え方や概念を理解していないと、ITセキュリティ標準やガイドラインなどで要求されているセキュアプログラミング／セキュアコーディングを効率的かつ効果的に利用することはできないでしょう。

ここで紹介する概念はセキュリティ設計やセキュアコーディングを行う上で欠かせないモノばかりです。

順序はその基礎知識性、重要性、分かり易さで付けています。では開発者必修のセキュリティ概念 Top 10です。

参考：思いの外、長くなったのでショート版を作りました。

Computer, Development, PHP Security, Programming, Secure Coding

セキュアプログラミングの７つ習慣

2月 17, 2016 #セキュアコーディング, #ゼロトラスト, #ベストプラクティス, #信頼境界, #境界防御投稿者 yohgaki

セキュアなプログラミングには基本的な考え方があります。それ守ることによりセキュアなプログラムを作ることができます。基本的な考え方を無視または意識しないでセキュアなプログラミングを目指しても遠回りだったり、漏れが生まれたりします。基本的な考え方を無視・意識しないでセキュアなプログラミングを行おうとしても無理があります。

ここで紹介するのは私の考えであり、どこかで標準化されている物ではありません。しかし、基礎からまとめると概ね同じような物になると思います。

Computer, PHP Security, Programming, Secure Coding, Security