事業会社でのセキュリティ長期インターンについて

事業会社でインターン生としてどのようなタスクや課題に取り組んだか
セキュリティ未経験からセキュリティの実務を取り込むハードル
VDPの確認など、事業会社ならではの苦労
事業会社のセキュリティにおいて、手が届く場所とそうでない場所のリアル

Transcript

1. 事業会社でのセキュリティ 長期インターンについて 浦 正親(@Inlet-back)
2. お品書き インターンでやった事と苦労 01 事業会社でセキュリティをやるメリデメ 02 まとめ 03 自己紹介 04 インターンまでの道のり 05
3. 自己紹介
4. 自己紹介 浦 正親 団体運営 KINDAI Info-Tech HUB 元企画長 UNIVERSITY LIVE IN HOBY 近畿大学 情報学部 3年 大阪 CTF,開発,ゲーム 技術 Webアプリ/モバイルアプリ開発、 Web/モバイルセキュリティ 内定先 GMO Flatt Security
5. インターンまでの道のり
6. パソコンいつから始めた セキュリティってことは 昔からプログラミングやPC漬けの生活でしょ？
7. いつから始めた セキュリティってことは 昔からプログラミングやPC漬けの生活でしょ？ 完全大学始めのエンジニアです！ (入学時はタイピングもできなかった)
8. やってきたこと • 1年生：基礎固め ◦ 授業のプログラミング先取り ◦ IT系学生団体に入る ◦ イベント、ハッカソンに一回づつでる
9. やってきたこと • 2年生：実務や団体運営 ◦ 開発長期インターン ◦ 学生団体の運営メンバー ◦ CTFチームに所属
10. やってきたこと • 3年生：サマーインターン ◦ サマーインターン(Webのセキュリティと開発) ◦ 学生団体の運営リーダーに ◦ 事業会社でセキュリティ長期インターン
11. インターンまでの道のり：結論 特別なことは必須ではない(Sechack,セキュキャン 等) 開発経験が重要だった
12. インターンでやった事と苦労
13. やったことの全体像 大きく分けて3つ ◦ トリアージされた脆弱性の修正 ◦ 脆弱性のトリアージ ◦ 管理基盤やドキュメント作成
14. トリアージされた脆弱性の修正 • 後もう直すだけ の脆弱性を修正してPRだす ◦ できる場合は修正までセキュリティチームで ◦ PRにて開発チームと連携しながら ◦ 同時並行で脆弱性の学習から
15. 脆弱性のトリアージ • 発見された脆弱性の 優先順序付け ◦ 主にベンダーでの脆弱性診断結果とVDP ◦ 脆弱性診断結果も、社内に合わせて順序を ◦ VDPはそもそも脆弱性かどうかの調査から
16. 管理基盤やドキュメント作成 • Notionで一元管理 ◦ チケット管理ダッシュボード作成 ◦ 修正やトリアージと並行しての学習内容を整理 ◦ 社内勉強会資料の作成
17. ここから苦労 事業会社ならではの苦労とやりがい
18. 難しかったこと①：優先順位の判断 • すべては一気に修正できない ◦ 実際のインパクトがどれくらいか判断 ◦ 社内の情報を加味した重要度 ◦ 修正にかかるコスト、影響の判断
19. 難しかったこと②：VDPの現実 • AIによる、質の低いレポートの増加 ◦ AIツールの普及で報告数は増加 ◦ 「それっぽいが価値がない」報告が増加傾向 ◦ 金銭的コストはないが、人的コストが大きい
20. 難しかったこと③：開発チームとの連携 • 様々な説明責任がある ◦ なぜそれが脆弱性となるか ◦ 修正したら、既存機能にどのような影響があるか ◦ DoSなど危険な脆弱性の検証前の事前通告
21. どうやって対処した？ • 焦らずしっかり取り組む ◦ まずは脆弱性自体の学習など、一見遠回りから ◦ 困ったらAIや先輩に聞きまくる ◦ なぜそう考えたかをしっかりアウトプット
22. 事業会社でセキュリティをやる メリット・デメリット
23. 事業会社でセキュリティをやるメリット • 脆弱性についてより 深く関われる ◦ そもそも脆弱性って何という所から考える必要性 ◦ ドメイン知識など、内部ならではのコンテキスト ◦ 自分で修正したり、修正されるところまで見守れる
24. 事業会社でセキュリティをやるデメリット • 手が届かない/本質的ではないこと ◦ 発見を自社で行っている会社は多くない ◦ 脆弱性の発見やトリアージ以外の業務も多い ◦ どうしても後回しになる脆弱性がある
25. まとめ
26. まとめ • 始めるには、セキュリティつよつよじゃなくてい い • 内部ならではの様々なコンテキストを考慮 • 診断とVDPは金銭的/人的コストのトレード • どういうセキュリティをやりたいかが選ぶ鍵 ベンダーについてや比較は是非交流で！