JaSST'18 Niigata まとめ

オカウチワニ @okauchiwani

オフィシャルワニ🐊 #jasstniigata pic.twitter.com/zHnjfPIHQz

拡大

yoshitake @yoshitake_1201

始まった！ #jasstniigata

yoshitake @yoshitake_1201

テーマ：「セキュリティをテストする」 #jasstniigata

yoshitake @yoshitake_1201

基調講演：松岡 正人さん「IoTセキュリティをテストするために知っておく方が良いこと」 　#jasstniigata

yoshitake @yoshitake_1201

IoTのアーキテクチャに関するドキュメント NIST-SP800 nri-secure.co.jp/security/nist/… #jasstniigata

yoshitake @yoshitake_1201

セキュリティについては NIST SP 800-160を参照してね。 csrc.nist.gov/csrc/media/pub… #jasstniigata

yoshitake @yoshitake_1201

セキュリティは品質指標のひとつ。 JIS X 25010 システム・ソフトウェア製品品質モデルも参照してね！ #jasstniigata

yoshitake @yoshitake_1201

■ソフトウェアのテストとセキュリティのテストは違う。 ・ソフトウェアのテストは、品質指標があってそれに合致しているかを確認する（要求は一定） ・セキュリティは毎日要求が変わる。 #jasstniigata

yoshitake @yoshitake_1201

今週RSA Conferenceもやってる。 rsaconference.com/events/us18 #jasstniigata

yoshitake @yoshitake_1201

これかな？＞IoT-A open-platforms.eu/standard_proto… #jasstniigata

yoshitake @yoshitake_1201

JNSA 日本ネットワークセキュリティ協会 コンシューマ向けIoTセキュリティガイド jnsa.org/result/iot #jasstniigata

yoshitake @yoshitake_1201

IoT（Raspberry Piやテレビなど）、コンシューマ系のセキュリティに関することがまとめられている。

オカウチワニ @okauchiwani

あー。バービーか。ファービーかと思った。#jasstniigata

yoshitake @yoshitake_1201

会話するバービ人形が起こしたセキュリティ的な問題 gigazine.net/news/20150317-… #jasstniigata

yoshitake @yoshitake_1201

IoT推進コンソーシアム iotac.jp #jasstniigata

オカウチワニ @okauchiwani

テストベッド (testbed, test bed) とは新技術の実証試験に使用されるプラットフォーム。試験に使われる架台を意味する。日本語では実証基盤とも。(wikipediaより)JSTQBにも定義があったかな。 #jasstniigata

yoshitake @yoshitake_1201

これかな？Trustworthiness > Microsoft news.mynavi.jp/article/201202… #jasstniigata

yoshitake @yoshitake_1201

マルウェア… in-activism.com/entry/android_… #jasstniigata

yoshitake @yoshitake_1201

ロジテックルータの脆弱性の問題

yoshitake @yoshitake_1201

news.livedoor.com/article/detail…

yoshitake @yoshitake_1201

IoTで。 デバイスに使われているそれぞれのチップ（モジュール）のセキュリティが大丈夫可確認する必要がある（マルウェアとかないかという点） ただし、全部やりだすと莫大なコストだから、突き詰める点・突き詰めない点をはっきり分けたほうが良い。　 #jasstniigata

yoshitake @yoshitake_1201

■どうやってセキュリティをテストするのか ・まず、セキュリティの世界ではソフトウェアでいうところの”テスト”という言葉がでてこない。 ペネトレーション（テスト）　or アセスメントとよくいう #jasstniigata

yoshitake @yoshitake_1201

ペンテスト（アセスメント）のガイドや標準 一部日本語化されて読みやすいはず。 OWASPのガイド owasp.org/index.php/OWAS… #jasstniigata

yoshitake @yoshitake_1201

JPCERT/CCから見たIoTをめぐる脅威の現状 igcj.jp/meetings/2017/… #jasstniigata

yoshitake @yoshitake_1201

JPCERTさんのこのあたりの資料を是非参考に！ jpcert.or.jp/wr/ jpcert.or.jp/present/ #jasstniigata