20180515 Meetup in Tokyo #34 - Security Bug Bounty - セッション
LINE Security Bug Bounty Program について
サイボウズのカオスルールを見せるぜ！！
バグハンターが見てきたBug Bountyの7年
サービス品質向上のためのフィードバックシステム
Bug Bountyについて
バグ報奨金のプラットフォーム
バグを見つけてお金をもらおう
LINE Security Bug Bounty Program について
Bug Bountyのなにが良いのか？
報告者の視座
お金がもらえる！
名誉が得られる！(場合によっては名前が売れる)
ついでにノベルティがもらえたりする！
運営者や企業の視座
社外に、セキュリティリソースを得ることができる
得られたフィードバックを社内に還元できる
Bug Bountyへの参加について
LINE社では2015年に参画、徐々に運営ノウハウを身に着け、2018年現在はコミュニティに貢献できる状態に
バグレポートについて
良いバグレポートとは
タイトルで概要が把握できる
再現手順が箇条書きでわかりやすい
PoC(検証用の実証コード)やPayload(そのスクリプトが具体的にどのような行為を行うのか)がある
発見した脆弱性を使用された場合のリスクが書かれている
修正案が書かれている
脆弱性を見つけるTIPS
LINEさんのサービスは、ネイティブっぽいけど実はWEBだったりするよ！
サンドボックスはない
サービスに負荷をかけるような行為は歓迎されない
他者のアカウントを攻撃するのももちろん歓迎されない
友達に許可をとってやるとかであればOK
サイボウズのカオスルールを見せるぜ！！
サイボウズさんの報奨金制度
わかりやすい脆弱性は見つからなくなってきた
参加者単位で、専用の環境を用意している
毎年、制度自体をアップデートする(その年の制度はその年でクローズする)
様々なキャンペーンを実施してきた バグハン合宿、報奨金5倍キャンペーン
2019年にもバグハン合宿を企画する予定
社内のテストは広く網羅的、バグハンターはピンポイントで探索的
バグハンターが見てきたBug Bountyの7年
従来に比べて、バグハンターが生きやすくなった(白い目で見られていた時代があった)
バグそのものの面白さを評価してくれる企業は嬉しい
窓口担当者がそもそも勉強していないような企業は悲しい
そういった企業とはお付き合いがなくなっていく(「次はないな」となる)
企業としてBug Bountyに参加したいなら
まずは窓口を設置しよう
脆弱性を見つけるコツ
全体を見る
検索にかける
テキストを見る
サービス品質向上のためのフィードバックシステム
MSの製品には、報告をしやすくする仕組みを仕込んである
ニコちゃんマーク
完全仲介システム すべてのアクセスが、ルールの上で判断される
セキュリティの自動化
セキュリティインシデントが発生した場合、そのアクセスポイントにアクセスしている端末ごと、別の場所に持っていかれる
駆除中は制限付きアクセス インターネットはできる
駆除が終わると元に戻る