OWASP Japan Blog 〜I can blog a little〜

「DevSecOpsとAppSec 自動化マスター」アブハイ・バルガフ（Abhay Bhargav）氏（トレーニング実施者へのインタビューへのリンク）

「コンテナ化されたアプリとサーバーレステクノロジーの攻撃と防衛」ニットヒン・ジョイス（Nithin Jois）氏 （トレーニング実施者へのインタビューへのリンク）

トレーニングの費用は、それぞれ175,000円、160,000円ですが、これにはカンファレンスの参加費107,800円(本ブログ公開時点)も含まれています。そう考えてみると2日間の国際的に精通しているトレーニングを実質70,000円もかからず受けることができるためお買い得ですね。是非トレーニングに参加してみてください。

さて、CODEBLUEにおいてはOWASPとしてブースを構え、イベントを盛り上げることに貢献する予定です。そこには、日本のOWASPチャプターのメンバーだけでなく、グローバルのOWASPチャプターのメンバーも参加する予定です。OWASPはオープンなコミュニティですのでもちろん、どなたでも気軽に盛り上げ側として参加いただけます。

https://docs.google.com/document/d/1gFWX5jQB505zCXYfv1KZFDs008wU67rNagg0auu0Klo/edit （注意事項がありますが、ニックネームでも登録可です。）

筆者はたまたま帰省に合わせて参加できたのですが、とても楽しかったです。

本イベントページのURLはこちらです。

OWASP Kansaiのノベルティがイケてるノベルティでした。筆者ももちろんゲット！

(左:OWASP Top10 2017日本語冊子、右:OWASP Top10 2017クリアファイル、下:ステッカー)

当日は基調講演が4本、その後同時開催でBOFが3本とLTが3本行われました。筆者はLT3本を拝聴しました。

すでに当日行われた講演の中で資料がアップされているものもイベントページからたどれますので、詳しくは資料を確認いただくとして、拝聴した講演を紹介したいと思います。

OWASP Kansai チャプターリーダーのはせがわようすけ氏より、OWASPは

Open ：みんなの力で

Web ：ウェブで

Application ：できたもんの

Security ：セキュリティを

Project ：何とかする活動

と紹介され、特にここ関西の産業はIT関連よりも製造業が多い傾向にあるため、IoTをテーマにセキュリティトピックに関して合同開催で勉強できる場があるのは良いことと述べていました。

最初の基調講演

「IoTセキュリティって特別なの？（仮）」と題して、日本ネットワークセキュリティ協会 IoT Security WG リーダー／株式会社カスペルスキー 松岡 正人氏の発表でした。来る途中の飛行機上空から見た富士山はとても綺麗だったとのことでした。

IoTセキュリティについては何か特別に考えるものでもなく、大まかに2種類あって、それが管理出来るか、出来ないかであると松岡氏は言いました。

IoTのアーキテクチャおよびセキュリティはNIST SP800-183および160を参照するとして、セキュリティはあくまで品質指標の一つであるとし、JIS X25010 システム及びソフトウェア製品品質モデルに基づいてソフトウェアセキュリティと同等に対応してほしいと述べられていました。また、これを特に読むべく人は、会社が傾くか儲かるか、会社にとって何を重要視するかを決めないといけない人、そういった志ある人は特にきちんと読もうと述べられていました。

次に、JNSAの活動の中では、2015年頃からIoTの中でも特にコンシューマ向け機器(つまり管理できないIoT)に関するセキュリティを考えないといけないという話があり、2016年におよそ130ページにおよぶコンシューマ向けIoTセキュリティガイドを作成したのでぜひ読んで欲しいとのことでした。

さらに、Industrial Internet Consortium(IIC)の紹介では、IoTのセキュリティについて、企業同士が実際にお金を出し合って確認するプロジェクトが存在すること、また、ドイツのIndustrie 4.0のロシア版である4.0RUについての紹介を行われ、あらゆる国での検討が進む中、IoTが今後、「Internet of Threats」とならないよう対策していく必要があるとして、講演を締めくくられました。

二本目の基調講演

「組み込み屋から見たIoT機器のセキュリティ ～小さな機器でも気になる大事なこと～」と題して、株式会社アットマークテクノ 代表取締役 實吉 智裕氏の発表でした。

Armadillo-IoTというゲートウェイ製品を開発された實吉氏は、IoT製品における考えられる脅威(盗み見、なりすまし、改ざん、システム侵入、マルウェア実行、物理攻撃)とその対策方法について説明されていました。最近ではMicrosoft AzureやAWSのIoT Hubを活用することもリスクを軽減することの一つと紹介していたが、機器そのものに対する物理攻撃(UART接続、JTAG接続、ROM吸い出し)の対策を怠ってはいけないと實吉氏は述べていました。

開発者のために開けられているシリアルポートが結果的に脅威となることもあるとし、UART接続やJTAG接続の回避方法としてパスワード認証や物理的に閉じることも検討、またROM吸い出しにはセキュアブートで対策としていました。IoT機器の接続に閉域網(Intranet of Things)を使いたがるユーザーも多いがこれらのリスクも確認しながら、最終的に守りたいものとかけるコストとのバランスが重要と締めくくりました。

三本目の基調講演

「Webセキュリティ診断士からIoT診断にシフトしたときの課題」と題して、IoTSecJP代表　黒林檎氏が発表されました。全身、黒ずくめの男でした。

公開されている資料はありませんが、当日の講演では、IoTのセキュリティ診断は、そもそも診断項目が曖昧である現状、診断対象とするレイヤーが広すぎ、さらに情報の少なさを嘆いておられました。

診断項目が曖昧であることについては、Webでは例えばXSS、CSRF、SQLインジェクションの対策が出来ていれば良いとする診断レポートもあるが、IoT診断ではこの項目が不明瞭であるとし、だからといってOWASPにはIoT Top10というドキュメントもあるが、これに準拠できていれば問題なしなのかというと、これに完全準拠するなんて現実的に無理で、準拠できているから大丈夫なのかといえばそうではないと述べていました。(筆者もOWASP IoT Top10に完全準拠！と謳っている製品は見たことありません。)

レイヤーが広すぎる点については、IoTを中央に、関係する分野としてFirmware、Web、Protocol、Crypto、Hardware、Otherを表し、これらの領域をカバーし合える他のセキュリティ専門家と一緒に考えるべきと話されていました。IoTセキュリティ診断の診断価格も悩まれていました。あなたなら、1台のIoT機器の単価が1万円だとしたら、どれだけの診断費用をかけますか？回答は難しいですね。

最後に情報の少なさに関する点では、やはり日本語のサイトはまだまだ少なく、海外のサイトから、その中でも本当に自分が欲しい情報を入念に調べ上げて続けているということ、技術検証内容が正しいかどうかを社内勉強会等で知見を共有し、周りとともに成長していく中で、現在は本を執筆中であることを告知して、時間になったため無慈悲に途中で発表が打ち切られました。

最後の基調講演

「必要とされるPSIRTとなるために 」と題して、パナソニック株式会社　製品セキュリティグローバル戦略室　中野 学氏による発表でした。

Panasonic PSIRTのお話で、PSIRTの役割についてお話され、開発現場や関係者との良好な関係を築きながら、確実な情報・確固たるエビデンスを元にインシデントレスポンスを行っていると述べられていました。組織としてのPSIRTは脆弱性の質や、商品、サービス内容、開発現場の状況を踏まえた上で、修正に向けた最適解を求め続けることが必要なのはおそらくどこのPSIRTでも言えることなのかもしれません。脆弱性を見つけるのも、攻撃するのも、作ってしまうのも、修正するのも全て人なので、冷静に収束に向けた行動、そして原因の追求以上に再発させない仕組み作りが大事と中野氏は最後に大切なことを伝えていました。

今回は基調講演がIoT機器の

企画設計

開発

診断、攻撃

リリース後のインシデント対応

という、製品の企画者、開発者、運用者に向けて伝えたいことを存分にお話いただいた内容でした。

また、どの方も似たようなことをおっしゃられていましたが、OWASP KansaiやIoTSecJPといった場所が様々な人を繋ぐ場・コミュニティであり続けることを期待していると述べておられていました。筆者もいくつかのコミュニティのコアメンバーであるので、そういう場を今後も提供し続けれればと考えます。

LTの1本目

「法律とITが仲違いしないための問題意識｣と題して、弁護士　伊藤 太一氏による発表でした。

過去に起きたユーザーVSベンダーの訴訟問題等を取り上げ、TechとLegalの人達の間で思考に大きなギャップが出来てしまっていることを注視しており、IoT時代にセキュリティの法的責任に耐えうるガイドラインが作られるのか？是非、TechとLegalの人達で手を取り合って作り上げよう！と話されていました。

LTの2本目

「組込み(IoT)機器開発者目線の情報セキュリティについて」と題して、イークラウド・コンピューティング 代表 (情報処理安全確保支援士)　古都 哲生氏による発表でした。

マジコンや監視するバービー人形を例に、もっとIoT機器を普通に扱おう、本来の機能・性能の範囲で楽しもう！電線繋がないでよ！と組込み機器開発者の苦悩が伺える生の声を聴くことができました。消費者目線からすると、脆弱性を露呈してしまった会社は一般的に人様からお金を貰って製品を供給しているため、脆弱性があるとは何事？と言われることは多々あります。特に安価な組込み機器においてセンシティブな情報を取り扱うことのリスクをよく考え、値段相応の使い方をして欲しいと多くの会社は考えているとのこと。だからこそ、開発・生産するIoT機器については、これまでの開発の仕方で本当に良いのか？あらためて見直してほしいと訴えかけていました。

最後のLT

「自動車に対するなりすまし攻撃の脅威」と題して、広島市立大学　家平 和輝氏による発表でした。

自動車のセキュリティの脅威分析を行い、防御機構の開発を考える必要があるとし、車載LANを題材に、自動車内部のコンピュータ(ECU)がCAN(Controller Area Network)で繋がっており、このCANがなりすまし攻撃に脆弱であると説明しました。なかでも検知の難しいなりすまし攻撃について研究している家平氏はバスオフ攻撃で正規の端末で攻撃が検知されることを無効化し、なりすましデータ送信を有効にさせる方法の検証結果について述べていました。最後に、OBD-IIポートに怪しいものが挿さっていないことを確認しましょう！として講演を締めくくりました。

およそ三時間近く、IoTのセキュリティについて学んだ非常に濃い時間でしたが、当日110名近くの参加者もおそらく学ぶものがたくさんあったのではないでしょうか。もちろんこれらを、学んで終わるだけでなく、周りに共有したり、これらをもとになんらか個々にアウトプットできるといいですね。

今後も今回だけに限らず、OWASP Japan ローカルチャプター主催の勉強会に参加して、こういったフィードバックをできる機会がありましたら、書き連ねてみたいと思います。

OWASP Japan PRチーム

今回のイベントでは、OWASP Top10 2017の翻訳に携われた以下の方々にプレゼンテーションをいただきました。

OWASP Japan Promotion Team 仲田さん：OWASP Top10 2017の趣

オージス総研 安藤さん：OWASP Top10翻訳のよもやま話

オージス総研 早苗さん：OWASP Top10翻訳のよもやま話

仲田さんのプレゼンテーションは、OWASP Top10の見所を紹介されたものでした。中でもOWASP Top10 2013からの変更箇所について着目し、セキュリティテスト担当者の役割が以前と変わりつつあり、テスト工程だけでなくより上流から携わる必要があることについて主張されていました。発表資料は以下のとおりです。

安藤さんと早苗さんは２人で同時に登壇され、２人の息のあったプレゼンテーションが行われました。安藤さんからは、OWASPの翻訳のPJは積極的に自ら手をあげることによりやりたいことができたことがメッセージとして伝えていただきました。最後のJOIN OWASPという文言には感慨深いものがありました。安藤さんの発表資料は以下のとおりです。

早苗さんからは、OWASP Top10翻訳PJの思い出について熱く語っていただきました。Slack上で繰り広げられたExposureやPrevalenceという単語に対する翻訳に関するディスカッション、見てるだけで勉強になるスレッドでした。なお、早苗さんにはOWASP Top10からも参照されているOWASP Risk Rating Methodologyの翻訳も行っていただいています。翻訳内容はコチラをご参照ください。早苗さんの発表資料は以下のとおりです。

いかがでしたでしょうか。OWASP Top10 2017の日本語版はコチラからダウンロードいただけます。

前回バージョンのOWASP Top10 2013からの変更点は下図のとおりです。

2013年版からの変更点

2017年版では、2013年版からA8−CSRFとA10−未検証のリダイレクトと転送がランキング外となっており、一方でA4:2017−XXE、A8:2017−安全でないデシリアライゼーション、A10:2017−不十分なロギングとモニタリングが新たにランキング入りしています。特に新たにランキング入りしたリスクに関しては、その内容についてご確認いただき、考慮・評価していっていただければと思います。もっとも、本文に記載のとおり10まででやめずに、上記ランキング外となったリスクを一例とした他のリスクについても考慮・評価していく必要があります。また2017年版では「ウェブアプリケーションと”API”」という記載がなされており、時代と合わせてリスクの対象が拡張、強調されていたり、なぜこのような結果になったのかといった補足情報が盛り込まれていたりします。

OWASP Top10といえば、これまで述べてきたTop10のリスクに注目が集まるかと思いますが、後半部の「開発者のための次のステップ」や「組織のための次のステップ」なども見どころ満載です。2017年版では「セキュリティテスト担当者のための次のステップ」や「アプリケーションマネージャのための次のステップ」が新規追加されており、それぞれの立場の方が今後どのようなことをやるべきなのかをより幅広く理解することができるようになっています。

また、OWASP Top10の記載からOWASP Software Assurance Maturity Model (SAMM)やOWASP Application Security Verification Standard(ASVS)等の他のOWASP PJへのリファレンスも取られています。そのため、OWASP PJの導入書的な存在としてもOWASP Top10をご活用いただけます。

OWASP Risk Rating Methodology（OWASPリスク格付手法）はビジネスに関連するリスクについて、発生可能性、技術的影響度及びビジネス的影響度から重大度を見積もり、優先的に対処すべきリスクを特定するフレームワークです。

OWASPリスク格付手法のアプローチは、以下のステップからなります。

リスクの特定

発生可能性を見積もるための要素

影響度を見積もるための要素

リスクの重大度の判断

解決するものを決める

リスク評価モデルのカスタマイズ

OWASPリスク格付手法のステップ

以下各ステップについて、簡単に紹介します。

1.リスクの特定

リスク格付を実施するにあたりまず、評価する必要があるリスクを特定します。

2.発生可能性を見積もるための要素

発生可能性を見積もるための要素として「脅威エージェントの要素」と「脆弱性の要素」があり、それぞれ以下のグループに細分化されています。

脅威エージェントの要素

スキルレベル：技術的な熟練度

動機：脆弱性を悪用する際の報酬

機会：脆弱性を悪用する際に必要な権限とリソース

規模：脆弱性を悪用可能なユーザ範囲

脆弱性の要素

発見の容易性：脆弱性を発見することの容易さ

悪用の容易性：脆弱性を悪用することの容易さ

認知度：脆弱性がどの程度知られているか

侵入検知：悪用されたことを検知できる可能性

脅威エージェントの要素と脆弱性の要素による発生可能性の見積もりイメージ

3.影響度を見積もるための要素

攻撃を受けたことによる影響度の要素として「技術的影響度の要素」と「ビジネス的影響度の要素」があり、それぞれ以下に細分化されています。

技術的影響度の要素

機密性の欠如：開示され得るデータ量と機密性はどの程度か

完全性の欠如：破壊され得るデータ量と損害はどの程度か

可用性の欠如：どの程度のサービスが提供不能となり、どの程度致命的か

アカウンタビリティの欠如：攻撃者の行動をどこまで追跡可能か

ビジネス的影響度の要素

金銭的損害：どれだけ金銭的損害を生じるか

信用喪失：ビジネスに害を及ぼすような信用喪失が生じるか

コンプライアンスの欠如：どの程度問題が起こるか

プライバシー侵害：どの程度個人情報が開示され得るか

4.リスクの重大度の判断

ステップ2及びステップ3において発生可能性の見積もり及び影響度の見積もりを合わせて、リスクの総合的な重大度を算出します。

発生可能性と影響度のレベル

総合的なリスクの重大度の判断

5.解決するものを決める

ステップ４において算出したリスクの重大度に基づき、解決するリスクの優先順位を決定します。その際、全てのリスクに対して対策を講じる必要はなく、要するコストや対策による効果を考慮した上で対策を講じるかの判断を行います。

6.リスク評価モデルのカスタマイズ

OWASPリスク格付手法における発生可能性を見積もるための要素や影響度を見積もるための要素のグループや重みづけを各組織の特性に応じてカスタマイズすることにより、ビジネスに関連するリスクの重大度をより正確に見積もることができます。

その一環として、コミュニティの力でセキュリティを向上させる一助になればということで、CODE BLUEから頂いたチケットをコミュニティに還元するためOWASP Kansaiのイベントでスピーカーを務めてくれた方に抽選でお渡しするという企画を行い、その結果CODE BLUEに参加したPINKSAWTOOTHさんが参加記を書いてくれました。

http://pinksawtooth.hatenablog.com/entry/2017/11/20/025453 OWASP Kansaiという地元のイベントにコミットすることでCODE BLUEのような大きなカンファレンスに参加でき、そこで得た刺激をさらに地元に持ち帰るという流れがうまく出来上がると嬉しいと思っています！

OWT2017JPでは、本会場である蔵前会館に加え、以下のサテライト会場も解放され、700人を超える方にご参加いただきました。会場をご提供いただいた方にはこの場を借りて感謝申し上げます。

サテライトTOKYO-A(150席): 霞ヶ関ビル33F (EYアドバイザリー・アンド・コンサルティング株式会社セミナールーム)

サテライトTOKYO-B(100席): 東京日本橋タワー27F (サイボウズ株式会社 東京オフィス)

サテライトTOKYO-C(100席): JR新宿ミライナタワー 5F[受付] (LINE株式会社)

サテライト松江会場(松江オープンソースラボ) 

サテライト沖縄会場(国際電子ビジネス専門学校)

サテライト名古屋 第１会場(愛知大学 名古屋キャンパス) 

サテライト名古屋 第２会場(株式会社中電シーティーアイ (テレピアビル 5階会議室)) 

サテライト神戸会場(株式会社神戸デジタル・ラボ)

サテライト大阪会場(ファーストサーバ株式会社)

サテライト福岡会場 (福岡工業大学 )

サテライト札幌会場 (クラスメソッド株式会社)

サテライト福島 会津若松会場 (Eyes Japan)

各スピーカーの方の講演資料は以下に公開しています。

OWASPの歩き方　−　上野さん（OWASP Japan Chapter Leader）

OWASP Top10を用いた脆弱性対応　−　安藤さん（株式会社オージス総研）

最小権限の具体的な実現方法　−　長山さん（株式会社神戸デジタル・ラボ）

開発者・運用担当者に向けた、OWASP ZAPを用いた脆弱性診断手法　−　亀田さん（OWASP ZAP Evangelist、SCSK株式会社）

OWASP BWAを用いた学生および職員向けトレーニング　−　松浦さん（東京工業大学）

開発プロジェクトの現状を把握するOWASP SAMMの活用　−　伊藤さん（サイボウズ株式会社）

シフトレフトへの道　−　岡田さん（OWASP Japan Chapter Leader）

当日のtogetterまとめはコチラです。

また、本日ブースや講演者の方から紹介のあったドキュメントやツールへのリンクを以下に掲載します。

OWASP Top10（日本語版）

OWASP Snakes and Ladders Web Application（日本語版）

OWASP Snakes and Ladders Mobile Application（日本語版）

OWASP Proactive Controls 2016（日本語版）

OWASP Application Security Verification Standard 3.0.1（日本語版）

OWASP Cheat Sheet Seriesの概要

OWASP SAMM1.0（日本語版）

OWASP Zed Attack Proxy

Webシステム／Webアプリケーションセキュリティ要件書2.0

日本においては、新たなOWASPチャプター設立の動きが活発であり、Webアプリケーションセキュリティに関する輪の拡がりが進んでいます。また本日東工大田中先生から発表のあった東工大がアカデミーサポーターに参画されることも含め教育機関にもその輪が拡がっています。OWASP JapanではOWASP Nightの開催やカンファレンスへの参加等を通じてWebアプリケーションセキュリティの啓発等を進めてまいりますので、ぜひ今後のOWASP Night等に参加してください。

OWASP Japan ホームページ

OWASP Japan メーリングリスト登録

OWASPの個人会員登録

OWASP Japan Twitter

OWASP Japan Facebook

開催記はコチラのサイトからご覧いただけます。

今後OWASP Nagoyaでは来る9/30に開催されるOWASP World Tour Tokyoのサテライト会場の開設に加え、1月にLocal Chapter Meeting 2nd、来年1月にOWASP Night in Nagoya、そして最後に来年3月にOWASP Nagoya HandsOnの開催を予定しているようです。

OWASPのChapterが日本国内において拡がりつつあり、ウェブセキュリティの考え方が浸透しつつあります。

技術的なリポート

セキュアなIoTエコシステムはどうすれば実現できる？（公開日：2017/7/3）

IoTのセキュリティ設計って、どこから学んだらいいの？（公開日：2017/3/31）

組み込んだOSSコンポーネントの更新漏れを可視化する「OWASP Dependency Check」 （公開日：2016/9/6）

OWASP ZAPで開発中にセキュリティ診断！（公開日：2016/6/30） 

IoT時代において重要性が増すデバイスのセキュリティ（公開日：2016/2/12）

SQLインジェクション対策の極意はSQL文を組み立てないことにあり（公開日：2016/1/29）

OWASP ZAPではじめる2016年のウェブアプリケーションセキュリティ（公開日：2016/1/2）

クロスサイトスクリプティング対策 ホンキのキホン（公開日：2015/12/28）

Web開発者がおさえておきたい10のセキュリティ技術～カギは事前の対策にあり OWASP Proactive Controls（公開日：2015/12/03）

Web開発者であれば押さえておきたい10の脆弱性～セキュリティ学習の第一歩はここから踏み出そう（公開日：2015/10/29）

イベントリポート

OWASP AppSec USA 2015カンファレンスレポート：「アプリケーションセキュリティの最先端情報が集結」（公開日：2015/12/18）

OWASP Night 第19回イベントレポート：「セキュリティ要件と実装、どこまでやれば十分か」（公開日：2015/11/05）

その他リポート

Webアプリケーションの脆弱性診断は、自動診断ツールを使った脆弱性診断だけでは十分な診断結果が得られず、手動診断を併用することが望ましいと考えられています。 とはいえ、手動診断は脆弱性診断士の経験やスキルによる診断能力の差違が生じてしまっているのが現状です。 そこで、脆弱性診断士スキルマッププロジェクトでは、最低限必要な診断項目や手順を定義することで、一定レベルの手動診断による脆弱性診断を行うことができるようになるための、「Webアプリケーション脆弱性診断ガイドライン」を公開しています。

脆弱性診断士スキルマッププロジェクト

Webアプリケーション脆弱性診断ガイドライン

Excel版

PDF版

「Webアプリケーション脆弱性診断ガイドライン」では、診断を実施すべき脆弱性に対して、「診断方法」、「ペイロード・検出パターン」、「脆弱性がある場合の結果」、「脆弱性がない場合」等の観点で脆弱性の診断方法について詳細に説明されています。

そのため、手動診断の初学者であってもわかりやすく、また、最低限の診断レベルを担保できるものと考えられます。 なお、「Webアプリケーション脆弱性診断ガイドライン」は、「脆弱性診断士」における「脆弱性診断士（Webアプリケーション）」区分における「Silver」ランクで要求される内容が定義されています。各ランクで求められるスキルの定義は以下のとおりです

Silverランク

Gold ランクの者から指導を受けた上で診断サービスを提供する、もしくは、自社向けに脆弱性診断を実施するための必要スキル

Gold ランク

業務としての脆弱性診断サービスを提供するチームにおいて、最低限1名以上メンバーに加えるべきスキル

OWASP Natoriの発足記念として、早くも「第1回 OWASP Natori Meeting」の開催が5月1日の月曜日に予定されています。

OWASP Natori MeetingにおけるプレゼンテーターはOWASP Natoriのチャプターリーダでもある、「佐藤 将太さん」です。

OWASP Natoriの発足にあたり、この度は佐藤さんにインタビューをいたしました。

Q1. OWASP Natoriをなぜ発足されたのでしょうか （佐藤さん） 私の個人的な背景としてエンジニアとしての活動の他、人材の育成（学生、社会人）や、パーソナルコーチング、コンサルタント業務、勉強会の開催などを行っています。

上記の中、週末に開催をしていたマインドマップのワークショップにたまたま現OWASP Sendai のリーダー（小笠さん）が参加してくださっていました。 ※私がマインドマップ公認インストラクターであることも一つの出会いのきっかけだったかもしれません。 時系列としては、ワークショップ後に、OWASP Sendai が発足、ワークショップでの繋がりを縁に、OWASP Sendai にチャプターボードとして参加する運びとなりました。 OWASP Sendai のチャプターリーダーの活動内容を近くで体感できたことも大きな要因だったと感じますしその縁をきっかけに個人的に「面白そうだからやってみる」という部分に従った部分もあります。

今回、場所に「名取」を選択した理由はいろいろありますが「仙台」との連携などでシナジーが起こせるかもしれないという期待感と、もともと私が仙台高専 名取キャンパス（旧宮城高専 情報デザイン学科 -> 専攻科）出身であることもあり高専生を含め、地域の学生が参加しやすいコミュニティを地元に作りたい想いがありOWASP Natori の発足へと進む形となりました。

Q2. OWASP Natoriの活動方針はどのようなものなのでしょうか （佐藤さん）  「難しくない。セキュリティを身近に感じる場の提供を。」です。難しいイメージのつきまとうセキュリティに興味を持っていただくためのきっかけ、自己学習につながる入り口となる場を目指していきたい気持ちが第一にあります。スーパーライト、スーパービギナーがエキスパートになるためのきっかけになる場にしていきたいと思います。

Q3. OWASP Natoriとしての今後の意気込みをどうぞ！ （佐藤さん） 定期開催をしていくことで、セキュリティに関する情報の発信は元より、通じて地域の学生と仙台や県外、国内主要都市圏の「第3の大人」との交流が活発化するきっかけとなるコミュニティにしていきたいと考えています。気持ちとして、参加者がゼロでも「定期開催を崩さない」気持ちを持って開催をしていくことを一歩目の決意としていきたいと考えています。

OWASP Cheat Sheet Seriesインデックスは、過去ブログ記事（OWASP Cheat Sheet Seriesを日本語訳して馴染みやすくしてみた。）にも掲載のとおり、

日本語化されていないOWASPドキュメントは馴染みづらい印象を受けるとともにその利用を躊躇している

日本語化されていないOWASPドキュメントの中にも有用なドキュメントは数多く存在し、その中でもOWASP Cheat Sheet Seriesはセキュリティを専任とする方をはじめ、開発者、設計者、マネジャー、利用者など、どの立場の方にとっても有用な情報が詰まっている

といった状況を踏まえ、OWASP Japan Promotion TeamにおいてPJを発足し、2015年版のOWASP Cheat Sheet Seriesインデックスを公開しておりました。

あれから約1年経過し、

2016年6月23日にJPCERT/CC様よりCheat Sheet文書の日本語訳が公開される

新たなCheat SheetがOWASP Cheat Sheet Seriesに加わる

など、日本においてもグローバルにおいてもCheat Sheet Seriesのパワーアップが進んでいました。そこでOWASP Japan Promotion Teamは改めてPJを発足させ、2016年版のOWASP Cheat Sheet Seriesインデックスを作成・公開いたしまいた。

2015年版からの主な変更点は以下のとおりです。

JPCERT/CC様の公開資料へのリンクを掲載

2015年版以降OWASP Cheat Sheet Seriesに加わったCheat Sheetを新たに追加

以上より、2015年版では48のチートシートについて概要を掲載していましたが、2016年版では本記事公開時点でOWASP Cheat Sheet Seriesにて公開されている61の全てのチートシートに対応いたしました。

是非、更なる進化を遂げた2016年版OWASP Cheat Sheet Seriesインデックス日本語版をご活用ください！

OWASP Japan Promotion Teamからの発表の様子

またLINE株式会社におかれましては、素敵な会場を提供していただいたのに加え、LocalChapterSupporterにも参画いただいています。

素敵な会場の様子

LocalChapterSupporter

こんにちは、OWASP Japanの岡田良太郎です。OWASPとは、「Open Web Application Security Project」の略で、ソフトウェアセキュリティに特化した、世界で最も知られたオープン・コミュニティです。日本では、2011年から、のべ4000名近いソフトウェアのセキュリティに関わる方々とミーティングを開催してきました。

2, 3ヶ月に一度、全国でミーティングを開催しています。また、自主的なプロジェクトも数々行っています。以後、ぜひ関心を持っていただけますようお願い致します。

https://owasp.org/index.php/Japan

さて、本日ご紹介するのは、「OWASP Proactive Controls」というドキュメントです。最近、日本のボランティアによるチームで翻訳後、レビューを通し、2月にリリースしました。

https://drive.google.com/file/d/0B2_ziyIoPpCNXzhJRkdrcEx4Q1U/view

ソフトウェアの開発ライフサイクルにおいて、セキュリティ確保の重要性はもはや開発だけの問題ではなく、ビジネス課題になっています。ウェブアプリケーションにせよ、モバイル・アプリケーションにせよ、出荷前にセキュリティ脆弱性（ぜいじゃくせい）のテストを行い、可能な限り問題を最小化してから出荷することは、ここ日本でも普及してきました。

攻撃されやすい、深刻な影響を及ぼす「脆弱性」に関する知見を普及させるドキュメントとして、「OWASP Top 10」として知られています。おなじみ「インジェクション」「クロスサイトスクリプティング」など主要な脆弱性を解説しています。このガイドラインは、脆弱性に関する知識を広く普及させることに一定の成果を収めてきました。

SANS Instituteによる2015年の発表によると、70%近いソフトウェア開発企業がこのOWASP Top 10を標準あるいはモデルとして活用しています。この割合はISO/IEC27034やNIST 800-53/64、またSANS CWE Top25をなど権威ある他のガイドラインの参照率を３倍以上も上回っています。

https://www.sans.org/reading-room/whitepapers/analyst/2015-state-application-security-closing-gap-35942

しかし、ソフトウェア開発における脆弱性発生にまつわる問題においては、出荷前の検査によって発見できた問題を修正することの繰り返しでは、とうてい解決に至りません。なぜでしょうか。それは、端的に言うと、事後的な対応だからです。健康管理を怠り、病気になりやすい体質を放置していれば、病気になりやすいのは当然です。毎度毎度、病気になってから治療するという方法はコストもかかり時間も失われます。全く得策ではありません。むしろ伝染病のように影響が大きな問題が想定されるのであれば、予防にあたる努力を払うことでしょう。

同じように、ソフトウェアの構築プロセスにおいて、セキュリティを考慮にいれることに効果のある手法を知ることはソフトウェア構築においては全世界の共通課題でしょう。

そこで、この「OWASP Proactive(事前に)Controls (セキュリティ制御する手法)」を集約するプロジェクトがガイドラインの形でまとめたというわけです。2013年から活動しているこのプロジェクトは、世界中からの多くのフィードバックを反映し2016年に2回目のリリースを発表しました。

https://www.owasp.org/index.php/OWASP_Proactive_Controls

OWASP Top 10 Proactive Controls 2016は、「OWASP Top 10」の方式にのっとり、10の重要なアクティビティを定義し、解説しています。ここで列挙しているセキュリティ概念は、すべてのソフトウェア開発プロジェクトで考慮しなければならない原則を示しており、それぞれの項目の解説とともに、参照すべき様々なガイドラインやツールへのリンクが含められています。

早期に、繰り返しセキュリティを検証する

クエリーのパラメータ化

データのエンコーディング

すべての入力値を検証する

アイデンティティと認証管理の実装

適切なアクセス制御の実装

データの保護

ロギングと侵入検知の実装

セキュリティフレームワークやライブラリの活用

エラー処理と例外処理

プロジェクトリーダーのJim Manicoは、最初のドラフトをリリースした際、「このドキュメントは、前向きな言葉を用いたい。全ての設計者と開発者が100%、とにかくすべてのプロジェクトで検討すべきトップ・コントロールを記述するからだ」と述べました。

興味深いのは、このTop 10 Proactive Controlsの各項目と、OWASP Top 10の示す各脆弱性との関連を示す表が記載されていることです。ひとつのコントロールが、どの脆弱性を発生させない、いわゆる事前の対策として有効なのかを示しているのです。中には、１つで複数の脆弱性対策に有効なものもあります。確かに、こうした基本に忠実な開発プロセスを身につけると、セキュリティについても前向きなソフトウェア開発ができます。同時に、出荷前の工程で行う脆弱性テストの位置づけも、一層明確にすることができます。

開発者のみならず、発注や、また教育に関わる方々も、ぜひ、この機会にOWASP Top 10 Proactive Controls 2016をご活用ください。新しいソフトウェアを開発することなしに、新しいIT社会はあり得ません。ソフトウェアに関わるすべての皆さんが、前向きにセキュア開発に関わる助けになりますように。

皆さんのご感想、ご質問、ご意見を歓迎しております。 どうぞ、お気軽にお寄せください。 岡田良太郎

「IoT開発におけるセキュリティ設計の手引き」は、IoTにおけるセキュリティ設計としての脅威分析方法、セキュリティ対策の検討方法、工程ごとの脆弱性への対応方法や、スマートハウスやコネクテッドカーを一例とした脅威分析及び対策検討の実施例などIoTシステムを構築する上で抑えておくべきセキュリティ設計についてまとめてあり、幅広く活用可能であると考えられる非常に有用な資料です。

その中で4章「IoT関連のセキュリティガイド」の内の4.1節「OWASP Internet of Things Project」及び「参考文献」の内の付録A「OWASP Top 10 IoT Vulnerabilities (2014) の概要」において、以下の「IoT関連のセキュリティガイド」の抜粋のとおりOWASP Internet of Things Projectについて触れられています。