「いちばん大切なことは、目には見えない」重要なことを見極めるため知識体系情報サイト
2022-08-13 08:00:14
2022-08-13 08:00:12
2022-08-13 08:00:08
2022-08-13 08:00:06
2022-08-13 08:00:04
2022-08-12 20:08:31
2022-08-12 20:08:30
2022-08-12 20:08:04
2022-08-12 20:08:03
2022-08-12 20:02:31
2022-08-12 20:02:30
2022-08-12 20:02:03
2022-08-12 20:01:56
2022-08-12 20:01:06
2022-08-12 20:00:38
![<strong>English Version is <a href="https://speakerdeck.com/rung/training-devenv-security-en">here</a></strong> 実施: セキュリティ・キャンプ全国大会2022 発表者: Hiroki SUEZAWA (<a href="https://twitter.com/rung">@rung</a>) 演習レポジトリ: https://github.com/rung/training-devenv-security スライド内容 : この10年で、ソフトウェアを開発する環境は大きく変化してきました。DevOpsカルチャーの浸透や、Cloud基盤の利用の増加を受け、ソフトウェアはCI/CDパイプラインを通じてデプロイされるようになりました。また、開発はオフィス内だけでなく、会社の外でも実施されるようになりました。 本スライドでは、現代のプロダクション環境を攻撃および保護するためにはどのような手法を用いることができるのか、主にマルウェアなどを用いたクライアントサイドへの攻撃や、サプライチェーン攻撃の視点から、総合的に攻撃手法および対策を説明した上で、ハンズオン演習を行います。 [目次] ○ 1章: Introduction - 開発環境の変化と攻撃の流れ 下記の概要を把握し、クライアントサイドからの攻撃パスがあることを理解します ・最近の開発環境の変化 ・開発環境の変化による攻撃パスの違い ・標的型攻撃の概要と攻撃手法のモデル ○ 2章: 開発端末に残るもの 開発端末に対する攻撃に成功すると何が起きるのか、実際に演習を通じて学び、開発者として出来ることを考えます ・標的型攻撃の流れの把握 ・開発者端末でのCredential Access ・守りかたを考える ○ 3章: CI/CDパイプラインのセキュリティ 新たなリスクを抱えるCI/CDパイプラインについて、なぜ危険なのかを、演習を通じて学びます ・CI/CDパイプラインの理解 ・CI/CDパイプラインを狙った攻撃の理解と実践 ・守りかたの理解と実践と限界 [演習内容] (https://github.com/rung/training-devenv-security) ・Preparation: Google Cloud and GitHubのセットアップ ・Exercise 1: 開発端末内のクレデンシャル調査 ・Exercise 2: クレデンシャルのセキュア化 ・Exercise 3: CI/CDとInfrastructure as Codeを試す ・Exercise 4: CI/CD Attacks ・Exercise 5: CI/CD pipelineのセキュア化](/assets/img/1660302116.jpg)
