LINE2018.10.27今回はセキュリティ対策で一般的と言われている、バージョン情報の非表示についてです。この話題については、実は前々から検討したかったのですが、個人的にかなり悩んでいました。最近考えがまとまってきましたので、現在の私の意見として記事にします。記事の内容については現時点(2018/10)での考えであり、また個人的な意見となりますので、予めご了承ください。検討するきっかけ前に記事にした以下に参加した際の徳丸さんの話を聞いたのと、診断をしていた際に気になった挙動があった際に会社で議論したことがきっかけです。Summerに参加してきました以下は私の個人的に記録していたメモです。現在のところセキュリティ会社各社はバージョン情報が表示されることに対する指摘を行っていると思います。バージョンの表示に対する対策はセキュリティ診断対策という話がありました。上記について、確かにな~と、しかし、この件を鵜吞みにしてバージョン情報が表示される問題を指摘することを止めることは少し違うのではないかなと思うわけです。(なお、徳丸さんも「バージョン情報が表示されることの指摘をやめろ~」とまでは言ってなかったですよ。)私的な考え例えばTomcatについては、サーバのバージョン情報を非表示にすることは公式のドキュメントでも推奨していますし、OWASPでも推奨しています。以下はTomcatのドキュメントのキャプチャです。※英語が苦手なので、引っ張る箇所が間違っていたら教えてください・・・ドキュメント通りにすることが正しいわけではないですが、セキュリティ会社側からすると公式が推奨していることを指摘することに異論はないかと思っています。(私がセキュリティ会社を代表するわけではないですが・・・)※TomcatやPHP、Apache等のバージョン情報の非表示方法についてはそのうち記事にしようかなと。デフォルトのエラー画面の情報も有能な情報になるので、ここについてもカスタムエラーとすることを推奨しています。設定で非表示にしたつもりでも漏れている場合や、対応を間違えている場合があるかもしれません。※テストではエラー情報を表示するようにし、本番ではOFFにする予定だったがテスト時の運用のままだった等はよくある話かなとそういった状況を加味すると今後も指摘しない方向にはならないかなと考えています。※大体の脆弱性診断はブラックボックス診断で行うことがほとんどだと思いますので。まとめ個人的にはちょっと心労を伴いそうな話題を記事にしました。何が正しく、何に従うべきかを明示するのは難しいですが、少なくとも自分の意見を持つことは今後エンジニアとして生きていく上で、必要になるのではないかと私は考えています。(なお、他人に自分の意見を強制することはあまり好みません。)私自身今の会社で3社目ですが、会社によって多少指摘する内容が異なる場合もあります。(一様全部でセキュリティをやってきました。)また、お客様によってももちろん異なります。ある企業ではバージョン情報が表示される問題は絶対によくないと判断していて、個別に速報してくれと言われたこともあります。色々な状況や意見を考慮したうえで、結果を提示できれば最高ですが、まだまだ私自身、精進しないといけないなぁと思っています。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。Console」という天下のGoogle様のサービスにURLをお知らせしているのですが、最近常時SSLでアクセスするように強く求められています。Googleの検索からの訪問してくる方が半数以上なので、今回から全てSSLにしようと思います。先日徳丸さんの日記やツイッターで、CSRFの問題を出していました。以下リンクになっていますので、参照ください。解説はまだ出ていないのでまだ記載しませんが、環境構築について記事にしていきます。2018.11.10セキュリティSQLインジェクションのデモをする環境を構築する2さて、引き続き環境構築をやっていきます。前回、DBの準備は終えたので、PHPのコンテンツ作成に行きましょう。前回、DBの準備は終えたので、PHPのコンテンツ作成に行きましょう。2018.06.27セキュリティHydraを使ってみた前の勉強会の記事からすこし空いてしまいました。前の記事でお伝えした通り、今回は「Hydra」についてです。勉強会よりはもう少し使い方に片寄ったものになっているかと思いますので、その際にお聞きになった方や使い方が気になる方は見て行っていただければと思います。2019.09.09セキュリティCISMカンファレンスに行ってきました!昨日(2/17)に以下のCISMのカンファレンスに参加してきました。昨年度までは資格保持者でもなかったので遠慮していたのですが、今回はCISAとCISMの両方を保持しましたので、安心して参加してきました。2019.02.17セキュリティVMにMagentoの環境を構築しようとある案件でMagentoを調べることがあり、今まで構築したことがなかったので、この機会に構築して遊んでみます。構築と書きましたが、そんなに大したものではないので緩く見ていただければと思います。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。