ヤフーでHardeningを実施する意味 (#sec_kansai #sosaisec)

180 Views

May 07, 18

sec_kansai sosaisec

スライド概要

総関西サイバーセキュリティLT大会基調講演資料 (https://sec-kansai.connpass.com/event/80283/)

Yahoo!デベロッパーネットワーク

@ydnjp

スライド一覧

2023年10月からSpeaker Deckに移行しました。最新情報はこちらをご覧ください。 https://speakerdeck.com/lycorptech_jp

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

関連スライド

深層学習による自然言語処理入門: word2vecからBERT, GPT-3まで

Yahoo!デベロッパーネットワーク 135.8K

ゼロから始める転移学習

Yahoo!デベロッパーネットワーク 75.8K

ヤフーにおける WebAuthn と Passkey の UX の紹介と考察 #idcon #fidcon

idcon fidcon

Yahoo!デベロッパーネットワーク 65.2K

OpenID Connectとネイティブアプリを取り巻く仕様と動向 Yahoo! JAPANの取り組み #openid #openid_tokyo

openid openid_tokyo

Yahoo!デベロッパーネットワーク 52.6K

運用業務とスクラムは本当に組み合わせにくいのか︖運用業務が大半を占めるプロダクト開発での試行錯誤

devsumi

Yahoo!デベロッパーネットワーク 28.4K

ヤフーのオンプレ機械学習基盤AIPFについて #ml_kubernetes

ml_kubernetes

Yahoo!デベロッパーネットワーク 26.1K

各ページのテキスト

わたくしはこんな人太田俊明 (おおたとしあき) ヤフー株式会社 CISO室セキュリティ監視室所属 Yahoo! JAPAN Hardening 責任者日本シーサート協議会インシデント対応訓練WG ●(本家)Hardening経験 2 Hardening 100 Value x Value 見学者 Hardening 2016 Weakest Link 見学者 Hardening 1010 Cash Flow 競技者 Hardening 2017 Fes MP参加 Micro Hardening V1.0 競技参加 Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

(本家)Hardening 主催： WASForum(Web Application Security Forum) Hardening Project実行委員会 https://wasforum.jp/hardening-project/ 共催：内閣府沖縄総合事務局備考： 2012年より年2回程度開催。各回の参加者は100名前後。 http://www.qab.co.jp/news/2016110484925.html 琉球朝日放送(QAB)より引用 7 Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

10.

11.

12.

13.

実施概要【参加者】競技者エンジニアスタッフ CS(カスタマサポート) コアメンバー：来賓約30名 6名(実働3人/月程度) RedTeam(攻撃担当): 企画広報チーム構成１チームを８名〜10名で構成 9チーム構成(８名〜10名/チーム) = 81名約25名感想やコメントなど、フィードバックをいただくサポートスタッフ：約25名 ※サービスを運営する各組織より競技者をアサイン 13 (本家)Hardeningで関わりのある方を中心にお声がけ Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

14.

15.

演習設定 - 参加者の役割 White Team イベント運営 ( back office) Red Team(Outside) Red Team(Inside) 技術攻撃役社長役ユーザー役マスメディア役 SNS役対外対応技術対応 Blue Team 受付 SM （サービスマネージャー）司会技術撮影・実況 15 CS （カスタマーサポート）企画 Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved. 広報早期警戒情報サイト役

16.

17.

演習設定 - ECサイトA なぜファッション？コンセプト（Twinkle Fashions）  コンセプトは「キラキラ」  若年層をターゲットとしたページ  販売物：ファストファッション  安価  流行のオープンソースをふんだんに取り入れた、イマドキのシステム/画面構成  つい最近作成され運用が始まった、という設定 17 画像：アフロ Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

18.

演習設定 - ECサイトB 盆栽、なぜ？コンセプト（Traditional Bonsai）  コンセプトは「レガシー」  高齢層をターゲットとしたページ  販売物：盆栽  高価  昔ながらの技術を用いた、古いシステム/画面構成  昔から運営されている、という設定 18 画像：アフロ Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

19.

20.

21.

22.

シナリオ７時間の競技の中で26回の攻撃を敢行 • • • • • • • • • 標的型メール攻撃 ECサイト改ざんクライアント端末乗っ取りサーバリブート Corpサイト改ざん個人情報漏洩 ECサイトデータ全消失ランサムウェア感染 Outside攻撃 • • • • アカウント棚卸しソフトウェアの申請・管理怪しいメールは開かないパッチの適用日常のセキュリティ対応をなどなど。実施すれば十分対応可能 Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

23.

24.

25.

26.

27.

28.

29.

評価結果チーム名売上(万円) EC連合 Benkei 8,314 8,665 1,326 6,476 8,039 12,601 9,091 8,897 10,413 Sponavi+++ MAMO2 ヤフオク！ PSC メルゾン IDentity 29 データ守り隊技術 (10点中) 4.0 5.2 4.9 4.6 5.6 4.4 4.4 5.7 5.6 広報顧客対応 (未公表) 3.5 4.8 5.0 5.0 3.5 3.8 3.8 3.8 5.8 Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved. サービス (サービスマネジメント) 5.0 8.0 6.0 6.0 7.0 5.0 5.0 6.0 8.0

30.

31.

32.

実施する意味#1 インシデント対応経験のある人を増やす (※ここでの「インシデント」とは大規模な攻撃や事故を意味する) • サイバー攻撃がどういうものなか、その現実(リアリティ)を知らない従業員がたくさんいる • 一方で攻撃を受けた際に対応するのは現場の従業員である • 被害をできるだけ軽減化する為にも、多くの従業員に「現実(リアリティ)」を知っていただく必要がある Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

33.

実施する意味#2 「セキュリティは重要」の根底理解 • 従業員に「セキュリティは重要ですか？」と問えば、ほぼ全ての人がYesと答える • それをどれくらいの深度で理解しているか？ • 認識は人により違う • インシデントを体験する事で、改めてセキュリティの重要さを再認識いただく • 結果として、受動的なセキュリティ対応をしていた人が、より能動的な対応へシフトする！ • 従業員のセキュリティへの理解が増せば、セキュリティの推進活動もより進めやすくなる Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved.

34.

35.