Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
20170218inOkinawa
Search
okazaki hajime
February 18, 2017
Technology
0
190
20170218inOkinawa
https://stgeeks.doorkeeper.jp/events/56527
okazaki hajime
February 18, 2017
Tweet
Share
More Decks by okazaki hajime
See All by okazaki hajime
20220810_seccam
okazakihajime
0
110
20171222_owasp_okinawa
okazakihajime
0
810
20171114inCyberAgent
okazakihajime
3
2.2k
Other Decks in Technology
See All in Technology
NLP2025 参加報告会 / NLP2025
sansan_randd
4
510
AIエージェントの地上戦 〜開発計画と運用実践 / 2025/04/08 Findy W&Bミートアップ #19
smiyawaki0820
25
8.4k
Automatically generating types by running tests
sinsoku
1
400
Beyond {shiny}: The Future of Mobile Apps with R
colinfay
1
360
DuckDB MCPサーバーを使ってAWSコストを分析させてみた / AWS cost analysis with DuckDB MCP server
masahirokawahara
0
480
GitHub MCP Serverを使って Pull Requestを作る、レビューする
hiyokose
2
710
Classmethod AI Talks(CATs) #20 司会進行スライド(2025.04.10) / classmethod-ai-talks-aka-cats_moderator-slides_vol20_2025-04-10
shinyaa31
0
130
LangChainとLangGiraphによるRAG・AIエージェント実践入門「10章 要件定義書生成Alエージェントの開発」輪読会スライド
takaakiinada
0
120
SREが実現する開発者体験の革新
sansantech
PRO
0
160
All You Need Is Kusa 〜Slackデータで始めるデータドリブン〜
jonnojun
0
140
Vision Pro X Text to 3D Model ~How Swift and Generative Al Unlock a New Era of Spatial Computing~
igaryo0506
0
260
20250413_湘南kaggler会_音声認識で使うのってメルス・・・なんだっけ?
sugupoko
1
360
Featured
See All Featured
Facilitating Awesome Meetings
lara
54
6.3k
Designing for humans not robots
tammielis
252
25k
Thoughts on Productivity
jonyablonski
69
4.6k
The MySQL Ecosystem @ GitHub 2015
samlambert
251
12k
ピンチをチャンスに:未来をつくるプロダクトロードマップ #pmconf2020
aki_iinuma
119
51k
Practical Tips for Bootstrapping Information Extraction Pipelines
honnibal
PRO
19
1.1k
Chrome DevTools: State of the Union 2024 - Debugging React & Beyond
addyosmani
5
520
Refactoring Trust on Your Teams (GOTO; Chicago 2020)
rmw
34
2.9k
10 Git Anti Patterns You Should be Aware of
lemiorhan
PRO
656
60k
The Cost Of JavaScript in 2023
addyosmani
49
7.7k
The Cult of Friendly URLs
andyhume
78
6.3k
It's Worth the Effort
3n
184
28k
Transcript
アドテクスタジオの セキュリティグループ サイバーエージェント アドテク本部セキュリティグループ 岡崎 2017/2/18(土) CyberAgent, Inc. All Rights
Reserved
自己紹介 • 氏名:岡崎 創(おかざき はじめ) • 住まい:埼玉県春日部市 在住(クレヨンしんちゃんの街) • 職歴: ◦ 3年くらい LAMP環境のフロントエンジニア
◦ その後、3年くらい 上記のインフラエンジニア(サーバエンジニア) ◦ その後、1年くらい Webアプリケーションの脆弱性診断 ◦ その後、サイバーエージェント アドテク本部に入社( 2015/6) • 現在:アドテク本部セキュリティグループに所属
アドテク本部について
アドテク本部とは • 2013年10月に設立 • アドテク本部=アドテクスタジオ • サイバーエージェント関連のアドテクノロジー専門プロダクト を集結した組織です • アドテクノロジー領域におけるサービスの開発力を強化する
ことを目的とした、横断したエンジニア組織です 参考: https://www.cyberagent.co.jp/news/press/detail/id=8009
アドテクノロジーとは 詳しくはホームページを見てください: https://www.cyberagent.co.jp/ir/personal/adtech/ • インターネット広告に関するシステム ◦ 広告テクノロジー、アドテク、アドテック • 主なシステム ◦
メディア系:広告を表示する場所を提供 ◦ 広告配信系:メディアに(条件に従って)広告を配信 ◦ 効果計測系:配信された広告がどのくらい効果・収益が あったのかを確認
インターネット広告(例) 嗜好を追跡されてます → もはや、 ストーキングの域
テレビCMとインターネット広告 • インターネット広告の利点 ◦ アドテクノロジーを利用し、ピンポイントに広告を出せる コスト 視聴度 ※どのくらい真剣に 見ているか 視聴結果の正確性
ターゲティング テレビCM 高い 低い ※ながら視聴 が多い 推定 ※視聴率に よる推定 難しい インターネット 広告 低い 高い 正確 ※ログから集 計できる 可能
プロダクト別の分野(カオスマップ)
こんなアドテクスタジオですが、、、
最近、アドテクスタジオにカフェができました 参考: https://adtech.cyberagent.io/pr/archives/2717
アドテクスタジオのセキュリティグループ
一般的なセキュリティ業務
アドテクスタジオの場合
サイバーエージェントの場合ー決定はどこが?
アドテクスタジオでは
なぜ、プロダクトに入り込むのか
修正コスト 計画 初期に対応すれば コスト小 後から対応すると手戻り が大きくコスト大 設計 開発 テスト 運用
脆弱性診断 (CAアドバンス) 脆弱性診断 (セキュリティグループ) 対応コスト 時間 設計レビュー (セキュリティグループ)
アジャイル診断(開発期) 計画 設計 実装 テスト 計画 設計 実装 テスト 計画
設計 実装 テスト セキュリティ グループの診断 リリース セキュリティ グループの診断 セキュリティ グループの診断 [第三者立場] CAアドバンス の診断
どのように「決定」しているか
セキュリティレベルと開発効率(1)
セキュリティレベルと開発効率(2)
お問い合わせ例 お問い合わせ:開発チーム「新しいシステムのリリース前の脆弱 性診断をしたいのですが、どうすればいいでしょうか。」 • 対応1:お好きな外部診断会社で行ってください • 対応2:対象システムのヒアリングをし、セキュリティグループが選定した外部診断 会社へ依頼します • 対応3:脆弱性スキャナツールでチェックしますので、対象システムの情報をくださ
い • 対応4:セキュリティグループで脆弱性診断を行うので、対象システムの情報をくだ さい
お問い合わせ例 お問い合わせ:開発チーム「新しいシステムのリリース前の脆弱 性診断をしたいのですが、どうすればいいでしょうか。」 • 対応1:お好きな外部診断会社で行ってください • 対応2:対象システムのヒアリングをし、セキュリティグループが選定した外部診断 会社へ依頼します • 対応3:脆弱性スキャナツールでチェックしますので、対象システムの情報をくださ
い • 対応4:セキュリティグループで脆弱性診断を行うので、対象システムの情報をくだ さい
お問い合わせ(対応1) 対応1: お好きな外部診断会社で行って ください
お問い合わせ(対応1)
お問い合わせ(対応2) 対応2: 対象システムのヒアリングをし、セキュリ ティグループが選定した外部診断会社へ依 頼させていただきます
お問い合わせ(対応2)
お問い合わせ(対応3) 対応3: 脆弱性スキャナツールでチェッ クするので、対象システムの情 報をください
お問い合わせ(対応3)
お問い合わせ(対応4) 対応4: セキュリティグループで脆弱性 診断を行うので、対象システム の情報をください
お問い合わせ(対応4)
お問い合わせ例(まとめ) • 対応1:お好きな外部診断会社で 行ってください • 対応2:対象システムのヒアリングを し、セキュリティグループが選定した 外部診断会社へ依頼します • 対応3:脆弱性スキャナツールで
チェックしますので、対象システムの 情報をください • 対応4:セキュリティグループで脆弱 性診断を行うので、対象システムの 情報をください
AWSサーバに対してのポートチェック
AWS 脆弱性/侵入テストリクエスト 通常、脆弱性診断を行う場合は、AWSに対し、「脆 弱性/侵入テストリクエスト」をしなければならない。 • 必要な情報 ◦ rootアカウントであること ◦ 対象のインスタンスID(smallやmicroはNG) ◦
診断ソースIP ◦ 期間 などなど
流れ(通常) AWSに 侵入テスト 申請 対象インスタ ンスIDの確 認 AWSからの 返信 (1〜2日)
ポートスキャ ン開始 結果精査
流れ(アドテク) ポートチェッ ク 開始 ポートチェック用 IAM作成依頼 結果精査
流れ(通常とアドテク) AWSに侵入 テスト申請 対象インスタン スIDの確認 AWSからの返 信(1〜2日) ポートスキャ ン開始 結果精査
通常 アドテク ポートチェック 開始 ポートチェック用 IAM作成依頼 結果精査
AWSサーバに対して、ポートチェック(準備) 各AWSにポートチェック用IAMを作成してもらう ーーーーーーーー 〜(省略)〜 "Action": [ "ec2:DescribeInstances", "ec2:DescribeSecurityGroups", "elasticloadbalancing:DescribeLoadBalancers" ],
"Condition": { "IpAddress": { "aws:SourceIp": "スキャンサーバのIP" } }, 〜(省略)〜 ーーーーーーーー
AWSサーバに対して、ポートチェック(実行) nmap -P0 -sV -p 許可ポート instanceAのpublicIP
AWSサーバに対して、ポートチェック(結果) xx.xx.xx.xx 4000/tcp open ssl/remoteanything? xx.xxx.xx.x 80/tcp open http Apache
httpd 2.2.29 ((Amazon)) xx.xx.xx.x 443/tcp closed https xx.xx.xxx.xxx 80/tcp filtered http xx.xx.xxx.xxx 110/tcp filtered pop3 xx.xx.xxx.x 25/tcp filtered smtp xx.xx.xxx.xx 143/tcp filtered imap xx.xx.xxx.xxx 80/tcp filtered http
おわりに • 小さなことからコツコツと改善してます。 • セキュリティエンジニアとしては、まだ日が浅い ですが、開発経験があってよかったと感じること があります。 • アドテクスタジオのセキュリティはまだまだやるこ とが多いですが、頑張っていきます。
ご静聴ありがとうございました。