Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
学生向けバグバウンティイベントP3NFEST参加のキロク CHUO Tech #6
Search
Nealle
February 26, 2025
Programming
0
140
学生向けバグバウンティイベントP3NFEST参加のキロク CHUO Tech #6
CHUO Tech #6
https://chuo-tech.connpass.com/event/345726/
Nealle
February 26, 2025
Tweet
Share
More Decks by Nealle
See All by Nealle
DevHRに全部賭けろ
nealle
0
140
TROCCO×dbtで実現する人にもAIにもやさしいデータ基盤
nealle
0
1.9k
AI OCR API on Lambdaを Datadogで可視化してみた
nealle
0
290
生成AI、実際どう? - ニーリーの場合
nealle
0
910
“いい感じ“な定量評価を求めて - Four Keysとアウトカムの間の探求 -
nealle
4
16k
ニーリーにおけるプロダクトエンジニア
nealle
0
1.3k
プロダクト志向なエンジニアがもう一歩先の価値を目指すために意識したこと
nealle
0
490
事業KPIを基に価値の解像度を上げる
nealle
0
490
一人目PdMとして、まず"自分"をPMFさせることから考える
nealle
0
470
Other Decks in Programming
See All in Programming
Your Perfect Project Setup for Angular @BASTA! 2025 in Mainz
manfredsteyer
PRO
0
140
技術的負債の正体を知って向き合う / Facing Technical Debt
irof
0
110
詳しくない分野でのVibe Codingで困ったことと学び/vibe-coding-in-unfamiliar-area
shibayu36
3
4.6k
iOSアプリの信頼性を向上させる取り組み/ios-app-improve-reliability
shino8rayu9
0
160
Introducing ReActionView: A new ActionView-Compatible ERB Engine @ Kaigi on Rails 2025, Tokyo, Japan
marcoroth
3
950
育てるアーキテクチャ:戦い抜くPythonマイクロサービスの設計と進化戦略
fujidomoe
1
160
WebエンジニアがSwiftをブラウザで動かすプレイグラウンドを作ってみた
ohmori_yusuke
0
170
タスクの特性や不確実性に応じた最適な作業スタイルの選択(ペアプロ・モブプロ・ソロプロ)と実践 / Optimal Work Style Selection: Pair, Mob, or Solo Programming.
honyanya
3
140
猫と暮らすネットワークカメラ生活🐈 ~Vision frameworkでペットを愛でよう~ / iOSDC Japan 2025
yutailang0119
0
220
iOSエンジニア向けの英語学習アプリを作る!
yukawashouhei
0
180
階層構造を表現するデータ構造とリファクタリング 〜1年で10倍成長したプロダクトの変化と課題〜
yuhisatoxxx
3
940
Breaking Up with Big ViewModels — Without Breaking Your Architecture (droidcon Berlin 2025)
steliosf
PRO
1
350
Featured
See All Featured
How to train your dragon (web standard)
notwaldorf
96
6.3k
Side Projects
sachag
455
43k
The Pragmatic Product Professional
lauravandoore
36
6.9k
Statistics for Hackers
jakevdp
799
220k
Why You Should Never Use an ORM
jnunemaker
PRO
59
9.6k
The Cost Of JavaScript in 2023
addyosmani
53
9k
Art, The Web, and Tiny UX
lynnandtonic
303
21k
The MySQL Ecosystem @ GitHub 2015
samlambert
251
13k
How to Create Impact in a Changing Tech Landscape [PerfNow 2023]
tammyeverts
54
3k
Testing 201, or: Great Expectations
jmmastey
45
7.7k
The Art of Programming - Codeland 2020
erikaheidi
56
14k
Helping Users Find Their Own Way: Creating Modern Search Experiences
danielanewman
30
2.9k
Transcript
2025.02.25 CHUO Tech #6 株式会社ニーリー 松村 有倫 NEALLE 学生向け バグバウンティイベント
P3NFEST 参加のキロク 1
2024年4月にニーリーに入社。 開発環境整備やプラットフォーム機能開発、セキュリティ施策などの横 断開発業務に従事している。 2020年にECサイト運営企業に新卒入社。会員・決済などのプラット フォーム機能を提供するGatewayサーバーの保守・運用に3年間従事。 2022年からはチームリーダーとしてチーム運営も担当した。 2 自己紹介 株式会社ニーリー プラットフォーム開発チーム
エンジニア Arimichi Matsumura 松村 有倫
3 プロダクト紹介
4 今日のお話 バグバウンティイベントP3NFESTに出た時の体験記です 今日のお話では • プログラム提供に向けてどんな準備が必要だったか • プログラム中の対応の流れ・経験談 という話を中心に紹介していきます!
5 P3NFESTとは https://issuehunt.jp/events/2025/winter/p3nfestbugbounty バグバウンティプラットフォーム「IssueHunt」の学生限定バグバウンティイベント ニーリーでは過去2回プログラム提供(2024冬・夏)
6 参加の経緯 脆弱性検知はいろいろやれてる • 年次の脆弱性診断 • 各種ツールによる脆弱性スキャン ◦ trivy /
Dependabot / GuardDuty 攻撃者目線の対策はまだまだ… バグバウンティとかやれるといいかも いきなりは怖くない?運用回る? • コミュニケーションコスト • 修正対応 • etc. VS イベント参加なら参加者・期間ともに限定されてハードル低め! お試しには良さそう!
7 参加の経緯 初回参加時のレポートはテックブログにも載っているので是非ご覧ください! https://nealle-dev.hatenablog.com/entry/2024/05/07/170601
8 プログラムの用意 バグバウンティに参加するにはプログラムを用意する必要がある そのための作業は大きく2つ 診断環境の用意 バグハントしてもらう アプリケーションの用意 報奨金の設定 報告に対してお支払いする お金に関する設定検討
9 プログラムの用意:診断環境 禁止事項の検討 • 外部に影響が出てしまう操作はあらかじめポリシーで禁止しておく ◦ 外部APIへの連携を含む機能 etc. • 権限でしばれるならそれがベター
アカウントの用意 • toB向け管理画面はサインアップ機能を公開していない • アカウントを事前に払い出さないといけない • 診断に必要な権限のセットを検討して用意 → やることは脆弱性診断の準備と似ている
10 プログラムの用意:報奨金の設定 支払い額の設定 • 重大度ごとに設定 ◦ デフォルト設定を参考に • 今回はイベントなので情報提供レベルも 有用な報告には極力お支払いすることに
支払い額の設定画面 予算上限の設定 • 報奨金総額の上限を設定できる ◦ 報告が来すぎた場合も安心 • ニーリーでは10万でお試し • 社内の予算に対して多少余裕持たせるのがよさそう ◦ 予算尽きても来ている報告には報奨金支払いたい
11 実際の対応 準備を済ませたらいざプログラムスタート! 報告の受け取り ・脆弱性の概要 ・再現手順 ・CVSSスコア の報告を受ける 報奨金の決定 CVSSスコアの
重大度で目安の 報奨金が決まる 調整して報奨金を お支払い 脆弱性の修正 リスクを元に 対応期限と 対応チームを決定 緊急度の高いものは 運営側で即対応することも 内容の調査 ・再現するか ・原因 ・既知の脆弱性か ・リスク を調べる
12 報告者とのやりとり こんな感じで報告が届く CVSSや脆弱性種別で報奨金の目安額を出してくれる
13 報告者とのやりとり 報告者とはチャットでやりとり 国内イベントなので日本語でOK → ハードル低👌
14 難しかったこと 報奨金のジャッジに悩むケース CVSSだけでリスクを判断することはできない プロダクトの性質 / 攻撃が現実的かなども絡む これは脆弱性なのか…?と悩むような報告も 脆弱性対応の差配 開発チーム内での優先度・リソースの調整はやっぱり難しい
今は修正を一部巻き取るのも必要な時期 特に即時対応が必要ない脆弱性の扱いは今後の課題
15 よかったこと 攻撃者目線のセキュリティ対策 攻撃者がどこを狙ってくるのかの理解が進んだ 脆弱性診断で出てこなさそうなニッチめな報告も 費用対効果よく脆弱性を見つけられた 過去2回参戦、どちらも費用は10万円未満 脆弱性診断と単純比較はできないにしてもオトク
16 まとめ • バグバウンティプログラムの参加の流れを紹介 • 攻撃者観点でのセキュリティ対策のスタートとしてはお手軽 & 効果◎ • 網羅的なセキュリティ対策にプラスする形で導入するとよさそう
• いずれはステップアップして通期開催も目指したい💪
ニーリーではプロダクトエンジニア、 その他のポジションも積極採用中です! https://jobs.nealle.com/ We are hiring!!!