WEST-SEC セキュリティ勉強会#3 Webセキュリティをハンズオンで

参加当日について

・当日は、サーバへのログインなどで、認証を強化する予定です。当日のイベントが始まってからも、Connpassの事務局からのメールが随時確認できるようにしておいてください。
・サーバ等へのログインは、ConnpassのIDを利用する予定にしております。ご自身のIDを把握してご参加ください。

WEST-SEC セキュリティ勉強会#3

好評をいただいていますWEST-SECのセキュリティ基礎勉強会ですが、今回は、テーマをWebセキュリティに絞って開催します。Webセキュリティをハンズオン形式で、基礎から徹底理解しましょう！
これまでと同様に、Linuxの環境を用意しますので、皆さんにはSSHでログインし、実際にPHPのプログラムを操作していただき、攻撃を体験してもらいます。（Linuxに関する知識は、viエディタが最低限使えれば、何とかなります。ソースコードは基本的には提供しますので、部分的な改修やコピペで対応できます）

勉強会の目的

WEST-SECの目的は、学生、社会人の方に、仕事において必要なセキュリティ知識を高めることです。特に、企業の情報システム部に所属している方を意識しています。
ですから、この勉強会の目的は、CTFの問題をを解くための知識を身に着けることではありません。
なので、CTFを解くための過去問を紹介したり、テクニックの紹介は基本的にはありません。
そういう意味では、一般的なセキュリティ勉強会と考えてもらった方が近いと思います。
とはいえ、この勉強会を通じて、 CTFの理解にもつながることは間違いありません。
また、WEST-SECでは、セキュリティ初心者にもすそ野を広げることが、WEST-SECの大きな目的の一つです。セキュリティ初学者も理解していただけるように、わかりやすい勉強会にしたいと思います。

前提知識

以下、知識がなくても参加できますが、知っている前提で講義を進めます。
・SSHでサーバに接続できる。
・Linuxのviエディタを操作できる
・ITパスポートに登場する基本的な用語を、半分くらい知っている。
・特にITパスポートに登場するセキュリティの用語を概ね知っている（または当日までにさらっと勉強する）
・今回のカリキュラムの内容を後述しますので、その言葉の意味は、簡単に理解しておいてください。

【内容】

・現在、カリキュラムを検討中なので、内容は変更すると思います。
・前回やった内容の一部を以下に記載しています。どんな内容か、イメージをつかんでいただけると思います。
https://west-sec.com/linux　
・皆さんのPCにプログラムの実行環境やLinuxサーバを構築してもらえるといいのですが、難しい人もいると思います。よって、皆さんには共通のAWS環境をお渡しし、8割くらいの内容は実機操作してもらえるように準備します。
・資料は配布しません。あらかじめご理解ください。
以下はカリキュラム案です。
ただ、内容が濃密なので、2回に分けるかも。2回に分ける場合、1回目は基礎知識と、攻撃手法を半分くらいやります。

1.基礎知識 担当：T-kasu　　30分

・Linux操作の基礎（5分程度で）
・Webサーバの構築
・HTTPの基本とHTTPヘッダ
・HTTP通信をWiresharkでキャプチャ
・エンコード
・POSTとGETメソッド

2.攻撃手法と対策(1)　担当：T-kasu　40分

ここからは、実際にPHP等でソースコードを書いてもらい、攻撃を体験してもらいます。
　※時間が許す限り進めます。
・OSコマンドインジェクション
・ディレクトリトラバーサル
（休憩：10分）
・Cookieとセッション管理について
・セッションハイジャック
・Webshell
・クリックジャッキング

３.攻撃手法と対策(２)　担当：SATOKI　40分

・クロスサイトリクエストフォージェリ
・サーバサイドリクエストフォージェリ（Server Side Request Forgeris）
・オープンリダイレクトの脆弱性

※※以下は、時間の関係で、今回は実施無しの予定
・メールヘッダインジェクション
・SQLインジェクション
・HTTPヘッダインジェクション
・クロスサイトスクリプティング
・DOM型のクロスサイトスクリプティング
・ファイル探索

4.FortiGateのIPSでの防御

上記の攻撃を、FortiGateのIPS機能でどこまで防御できるかを確認

(アンケート記載　5分）

参加対象者

特に制限はありませんが、以下の方を意識しております。
・情報システム部門でセキュリティ対策の基礎を改めて再確認したい方
・セキュリティに興味があり、セキュリティ対策をもっと深く知りたい方　（※学生さん大歓迎）
・この研修で得た知識をセキュリティ対策のみに活かし、悪用しない方
→つまり、非エンジニアの方、セキュリティの初学者、大歓迎です！

必要なもの

・ブラウザ（Google Chromeなど。IEやEdgeは非推奨）が入ったインターネットに接続できるPC。
・Web会議ツール（CiscoWebEXやZOOMなど）の環境。
・TeraTermなどのSSHに接続するツール

お願い

・今後のカリキュラムや運営の向上のためにアンケートをお願いします。
・当日の感想をブログやfacebook、TwitterなどのSNSに投稿願います。投稿してもらえると、とてもうれしいです。

当日の流れ

（１）タイムスケジュール（予定）

過去のWEST-SEC開催履歴

主催メンバー

・粕淵 卓（特技はUTMと情報処理技術者試験）
・谷口 貴之（OWASP Nagoya所属、CISSP）
・藤田 政博（セキュアプログラミングの作問担当）
※セキュリティに長年携わるメンバーです。

協力メンバー

・宮本 久仁男（アドバイザー，作問協力）
・T.Suzuki（作問協力）
・DustInDark（作問協力）
・中山 義康（チェック・ポイント，作問協力）
・市川 久哲（作問協力）

後援（過去にご協力いただいた組織含む）

・関西サイバーセキュリティ・ネットワーク事務局
・阪大CTFサークルWani Hackase
・SEC道後2022
・OWASP Nagoya Chapter
　　Webアプリケーションのセキュリティを学びたい方には、OWASP top 10をオススメします。
・Palo Alto Networks
・エムオーテックス株式会社 （MOTEX Inc.）
・チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
・株式会社マクニカ
・Ir0nMaiden
※順不同