本書を手に取った背景
CISSPを勉強するにあたって脆弱性診断も理解しておきたいと思ったため。
具体的にどんなことをやるのかわからなかったのでちょうどいいと思った。
本書のテーマ
webアプリの脆弱性診断を行うために必要な基礎知識、診断に必要なツール、脆弱性を効率的に見つけるための手法、報告書の書き方を学べる。
個人的なポイント
１，webアプリに関する重要な要素
URI：リソースを識別する識別子。フォーマットも決まってる
２，脆弱なアプリ
復元可能なパスワード：ソルトやストレッチングを利用しないといけない
HTTPSの不備：古いSSLのバージョン、アルゴリズムの鍵長が十分でない、信頼できないCAが発行した証明書を使ってる
３，診断ツール
OWASP ZAP
４，いろんな脆弱性の診断リスト
診断を実施すべき箇所がまとまってる
５，google hacking database
検索エンジンを活用すると本来公開してはいけないファイルを発見できる。そのテクニックの一つがこれ。
脆弱なファイル、脆弱のあるサーバーなどいろいろわかる。
https://www.exploit-db.com/google-hacking-database
６，報告書の作成
流れ
材料を集める→報告書作成→内部レビュー→納品
７，CVSS
共通脆弱性評価システム。指標としてはすごく有名。
８，脆弱性に関するルールや法律
不正アクセス禁止法
威力業務妨害
個人情報保護など
今後やれること
・自分でサイト作って検証してみる
・今の従事しているSWGにはウェブの仕組みが関係しているので勉強をもっとする
まとめ
ウェブの仕組みがどのように悪用されているのかわかる本なので、攻撃だけ記載されている本よりもわかりやすかった。
脆弱性診断の０〜１０までわかるので、全体感を理解するにはちょうどいい。