セキュリティ・キャンプ全国大会2020 オンライン プロダクトセキュリティトラック B8 講義資料
脆弱性や攻撃方法を理解するためにはシステムのアーキテクチャ、ネットワークプロトコル、そしてソフトウェアの内部動作を理解する必要があります。こういった深い理解はセキュリティだけではなくシステム開発・運用にも有益であり、セキュリティを通してソフトウェアエンジニアとしてのスキル向上が可能です。本講義では脆弱性や攻撃手法を基にどのように技術の理解を深めていくかについて学びます。 世間では日々セキュリティインシデントが起きていますが、その中には設定ミスにより意図しないファイルが見えてしまったりサーバに侵入されてしまったりといったものも多数存在します。しかしそのファイルやサーバには攻撃者にとって重要な情報がないこともあります。その場合、攻撃者は侵入したサーバの管理者権限を取得したり別サーバに侵入したりと侵害範囲や被害の拡大を試みます。このような侵入後の攻撃者の活動のことを広義にPost-Exploitationと呼びます。本講義ではPost-Exploitationの題材としてDB等のミドルウェアやDockerコンテナへの侵入を取り上げ、これらの内部からホストマシンの管理者権限奪取を試みる演習を行います。 また、実際にこれらの経験を経て海外企業に雇われることになった講師が、どのようにして現在に至ったか、なぜ上記のように学ぶ姿勢が重要なのかについてお話しします。
https://www.ipa.go.jp/jinzai/camp/2020/zenkoku2020_program_list.html#list_b8
スライドはSpeaker Deckでも読めます。