事業会社とベンダー のセキュリティ 長期インターンについて

事業会社でのプロダクト周りのセキュリティ長期インターンと、セキュリティベンダーでの内定者インターンでの経験について話しました。 セキュリティエンジニアを目指しているが、どちらの道に進むか迷っている学生の方や、自分とは異なるポジションがどのような視点を持っているのか知りたい社会人の方の助けになればと思います。

Transcript

1. 事業会社とベンダー のセキュリティ 長期インターンについて 浦 正親(@Inlet-back)
2. お品書き 事業会社のインターンについて 01 ベンダーのインターンについて 02 事業会社とベンダー両方やったメリット 03 自己紹介 04 今日話すこと 05
3. 自己紹介
4. やってきたこと • 1年生：基礎固め(paiza等、団体に参加) • 2年生：開発長期インターン、団体運営、 CTF/ハッカソン • 3年生：サマーインターン、事業会社セキュリティ長 期 • 4年生：ベンダー内定者インターン
5. 今日話すこと
6. スコープ • 今日扱うメインは アプリケーションレイヤ • 扱う２つの役割 ◦ 事業会社：PSIRTに近く、自社のプロダクトを守る ◦ ベンダー：様々な会社を攻撃者視点で診断
7. 事業会社のインターンについて
8. やったことの全体像 大きく分けて3つ ◦ トリアージされた脆弱性の修正 ◦ 脆弱性のトリアージ ◦ 管理基盤やドキュメント作成
9. 事業会社でセキュリティをやるメリット/デメリット メリット • 脆弱性についてより 深く関われる デメリット • 手が届かないことや、本質的ではないことが多い
10. ベンダーのインターンについて
11. 全体像 • やったこと ◦ トレーニング、シャドー診断、社内外のブログ • これから/社員になったらやること ◦ 診断周り：見積もり、報告書作成、納品 ◦ 診断以外：分科会/WG
12. ベンダーでセキュリティをやるメリット/デメリット メリット • ひたすら技術を研鑽 できる デメリット • 最後まで見届けることが難しい
13. 事業会社とベンダー両方 やったメリット
14. 事業会社をやっていてベンダーに役立ったこと 事業会社側の気持ちがわかる ◦ ドメインを考慮した影響度の選定 ◦ 開発に寄り添った修正提案 ◦ 脆弱性が生まれた原因への想像力
15. もし事業会社側に戻ったら気をつけたいこと 報告書で同じ深刻度でも、順序は方針によって変化 • 社内でのより詳細なトリアージ が必要 ◦ 成立条件重視か、インパクトが大きいもの重視か ◦ 報告書のリスクをベースに、さらに細かい順番を
16. おわりに
17. 自分に合う方を探すには • まずは自分がやりたいことを ◦ 攻撃側/防御側？、見つけること/直すこと？ • 学生のうちに両方経験！ ◦ 結局やってみないと会う合わないはハッキリしない ◦ 色々見れるのは学生の特権