連日投稿34日目。今週１週間分の検証を基に脆弱性診断レポートを試作。
今回の目的
27日目の投稿と同様に、昨日までの投稿をベースに、以下書籍を参照しながら補い、資料の形までもっていきます。
今後はある程度一連の内容について検証した後、これをテンプレにレポートも書いて精度を上げていきます。
https://www.shoeisha.co.jp/book/detail/9784798159164
このチャレンジについて
目的: セキュリティエンジニアとしての技術力向上
手段: 手動・自作ツールでの脆弱性診断を通じて学習
実施する事: 自動化,監視,ツール開発基礎学習など
目次
前提
シナリオについては２７日目と変わらず、以下の通りです。
今回はDVWAを社内のWEBシステムだと仮定し、**「今までインターネットから隔離された環境でしか利用されていなかった社内WEBシステムの一部を、経営層は新規サービスのために社外公開する事を検討しており、これにより月額500万円の売り上げを立てられる見積もりでいる。それに先立って脆弱性診断を行い、セキュリティ・脆弱性対応への投資を説得するためのレポートを作成する。」**というシナリオをイメージし、ドラフトを作成しました。
完成系
こちらをご参照ください。
https://drive.google.com/file/d/17RHpTBKC55442RAptHT7bICkmKMv7ij8/view?usp=drive_link
まとめ
サイバーキルチェーンに則り検証を進めるという発想自体はかなりよかったのではないかなと。
まだ慣れてないうちはスクリプトをこまめに作り続けないと、(day33のように）かなり基本を忘れて時間がかかってしまいました。ここが反省点