まじめな技術者のためのWEBフィルタリング回避術

まじめな技術者のための WEBフィルタリング回避術 OWASP オワスプナイトカンサイ in 8th

今日お話しすること・特に難しい技術の話はしません特殊なツールは不要な簡単な方法・あくまでもまじめな技術者のため用法・容量を守って悪用は厳禁

だれ？森田智彦某電機メーカのセキュリティ診断チームで自社製品の診断業務に従事 組込み機器 サーバ／Ｗｅｂアプリ

ＷＥＢフィルタリング http://www.atmarkit.co.jp/ait/articles/1404/02/news002.html

業務を阻害する場合もマニアックな機器を購入したい、スペックが知りたい ⇒クリックしたらオークションサイトでありＵＲＬブラックリストで弾かれるセキュリティ診断の情報収集、ツール取得 ⇒怪しげな闇サイトとしてカテゴリフィルタリングで弾かれる

どうにかして、回避したい

簡単な方法で！外部プロキシの利用によるフィルタリング回避社内イントラ端末大手検索サービスによるページ翻訳目的のサイトへアクセス社内プロキシ
サーバ

どうすりゃいいの？・ベンダさん ⇒技術的な観点 ⇒設定的な観点・社内情シスさん ⇒業務効率的な観点まじめな技術者のために

ベンダ対策：部分一致のチェック http://www.jra.go.jp/ https://translate.google.co.jp/translate? sl=bs&tl=ja&js=y&prev=_t&hl=ja&ie=UTF-8 &u=http%3A%2F%2Fwww.jra.go.jp%2F &edit-text=&act=url ⇒URLしか見ていないクエリパラメータもちゃんとチェックしよう

ベンダ対策：優先度の検討ホワイトリスト、ブラックリストで同じURLが設定された場合は、ホワイトリストの設定が優先 ⇒ホワイトリストを信用し過ぎ外部プロキシになりえるURLはグレー判定

情シス対策：従業員の生産性業務効率や生産性とのバランスが取れたセキュリティ対策を実施すべきだセキュリティ偏重の判断は、業務の現場に不便さをもたらし、柔軟な発想や機敏性を損なわせ、イノベーションの機会を潰してしまう http://ascii.jp/elem/000/001/260/1260611/ CODE BLUE
2016基調講演「How much security is too much? 」カルステン・ノール氏

情シス対策：従業員の生産性業務上、急いでアクセスしなければならない場合も多いので・・・こんなボタンを新設してはいかがでしょうか上司に通知上司通知に同意してアクセスする上司に通知 http://www.owasp.hoge.org/
× ‼ Warning ‼ このページは許可されていません‼ 悪質な場合は上司に報告します。すべてのログは収拾されており端末の特定も可能です。云々、、、上司に通知してアクセス上司の理解と信頼があれば・・・

ディスカッション？ http://www.irasutoya.com/

まじめな技術者のためのWEBフィルタリング回避術

まじめな技術者のためのWEBフィルタリング回避術

Tomohiko Morita

More Decks by Tomohiko Morita

Other Decks in Technology

Featured

Transcript