「組織図」では説明できない ── RFC2350というCSIRTの自己紹介状【CySec復習ログ#10】
はじめに 少し前の私は、「うちの CSIRT って結局何をする組織なの?」と聞かれたとき、頭に浮かぶのが組織図の四角い箱だけでした。「ここにこの人がいて、その下にこの部署があって」と人と箱の配置...
0
0
Comment0
180 search resultsShowing 1~20 results
Stocked
You need to log-in
AIを組み込むと攻撃面が増える ── AIセキュリティを4象限で整理する【CySec復習ログ#13】
はじめに 少し前の私は、ニュースで流れる「AI×セキュリティ」の話や、製品パンフレットの「AI搭載」という文字を、ぜんぶ同じ棚に放り込んで眺めていました。ChatGPT は毎日のように触っている...
0
0
Comment0
ISMSの歴史と2022年大改定 ── BS7799からリスクマネジメント(ISO 31000)まで【CySec復習ログ#2】
はじめに 本記事は、CySec(東京電機大学が提供する社会人向けのサイバーセキュリティ教育プログラム「国際化サイバーセキュリティ学特別コース」)で学んだ内容を再構成した復習ログの後編で、シリーズ...
1
0
Comment0
攻撃の8〜9割は「人」を狙う ── 開発者のためのセキュリティ心理学とソーシャルエンジニアリング入門【CySec復習ログ 3IN#1】
はじめに 少し前の私は、セキュリティ対策を「技術の問題」だとほとんど無意識に思い込んでいました。依存ライブラリを最新に保つ、脆弱性スキャンを回す、WAF を前に置く、入力値を検証する。こうした「...
0
0
Comment0
「正しく作れば、セキュリティは守られる」は本当か ── "正しく作る"の先にあるプロセス屋の思考【CySec復習ログ 3IN#4】
はじめに 少し前の私は、「セキュリティは、正しく実装すれば守れる技術の問題だ」と、ほとんど無意識に思い込んでいました。脆弱性を潰す、認証を固める、依存ライブラリを最新に保つ、通信を暗号化する。手...
0
0
Comment0
サイバー犯罪を追うのは誰か ── クイズで体感する不正アクセス禁止法の"繊細すぎる線引き"と、本気になった警察【CySec復習ログ 3IN#7】
はじめに 少し前の私は、サイバー犯罪や警察の捜査は「別世界の話」だと思っていました。悪いことをしたハッカーは、なにか"専用のハッカー取締法"のようなもので裁かれ、それを追うのは法務や警察という専...
0
1
Comment0
サイバー保険は"入れば安心"ではない ── 損害保険の基礎とグローバル概況【CySec復習ログ 3IN#5】
はじめに 少し前の私は、サイバー保険を「入っておけば、いざというとき守ってもらえるお守り」くらいに考えていました。ランサムウェアに暗号化されても、個人情報を漏らしても、保険に入ってさえいれば損害...
0
0
Comment0
平文パスワードはログに残り、侵入は痕跡すら残らない ── ログは"消す/必ず残す"を設計する
はじめに ── 「念のため全部出す」ログが、パスワードを残して侵入を消す 以前の私は、ログを「念のため全部出しておけば、いざという時に役立つ」と本気で思っていました。 ログインや決済のコントロー...
1
1
Comment0
URL を入れたら AWS の鍵が漏れた ── 入力を実行に混ぜる SQLi と SSRF
はじめに ── URL を入れたら画像を取ってくる、その便利機能が AWS の鍵を漏らした 以前の私は、ユーザーの入力をそのままプログラムに渡すことに、あまり抵抗がありませんでした。 たとえば検...
0
0
Comment0
MD5で保存したパスワードは一瞬で平文に戻る ── 暗号・シークレット管理の急所
はじめに ── その"隠したつもり"が、命取りになる 数年前の私は、パスワードを自作の「MD5 + 固定ソルト」で保存して、「平文じゃないから安全」と本気で思っていました。しかも API キーや...
0
0
Comment0
同じWAFが、SQLiは弾くのにIDORは素通しする ── 境界防御とアプリ認可の線引き
はじめに ── 同じWAFが、SQLiは弾くのにIDORは素通しする 数年前の私は、「AWS WAF とセキュリティグループを入れたんだから、もう安全だろう」と本気で思っていました。インフラで境...
1
1
Comment0
ランサムの身代金は払うべきか ── エンジニアのためのセキュリティ倫理・法・フェイク入門【CySec復習ログ 3IN#2】
はじめに 少し前の私は、開発の仕事で「規約」「法令」「インシデント対応」という言葉に触れる場面が増えてきました。ところが、その中身を自分の言葉で説明できずにいました。たとえば、ランサムウェアの被...
0
0
Comment0
攻撃されたら被害者、でも対応しだいで"当事者"に ── 技術者のための「証拠」の残し方【CySec復習ログ 3IN#6】
はじめに 少し前の私は、サイバー攻撃を受けた会社は「被害者」だと、素朴に思っていました。悪いのは攻撃してきた側で、こちらは狙われた側。だから対応というのは、技術的に封じ込めて、復旧して、原因を潰...
0
0
Comment0
IoTのセキュリティは「作って終わり」にできない ── 開発から運用までのリスクアセスメント【CySec復習ログ#14】
はじめに 少し前の私は、「セキュリティのリスクアセスメント」という言葉を、どこか自分とは遠い作業だと思っていました。専門家が難しい表をにらみながら、勘と経験で「ここが危ない」と当てていく——そん...
0
0
Comment0
インシデント対応フローは「描いて終わり」じゃない ── 机上演習で作って・壊して・連絡手段まで決める【CySec復習ログ#11】
はじめに 少し前の私は、「OODA で回す」「インシデントレベルでトリアージする」「RFC2350 で自己紹介状を書く」という型を、本やスライドでひととおり学んだ気になっていました。ところが、い...
0
0
Comment0
インシデント報告が「技術の作文」になる人へ ── 経営者が判断できる型に翻訳する机上演習【CySec復習ログ#12】
はじめに 少し前の私は、インシデント報告を書くと、いつのまにか「技術の作文」になっていました。 「どのサーバーで何が起きたか」「ログに何が出ていたか」「自分が何を切り分けて、どこまで対処したか」...
0
1
Comment0
コメント欄の <script> でログイン状態を乗っ取られる ── XSS・CSRF・セッション管理の急所
はじめに ── コメント欄に貼った <script> が、ログイン中のあなたを乗っ取る 以前の私は、ユーザーが入力した文字を画面に出すとき、あまり深く考えていませんでした。 たとえば...
0
0
Comment0
暗号の歴史は「秘密を小さくする」歴史 ── シーザー暗号からTLS 1.3へ【CySec復習ログ#5】
はじめに 少し前の私は、HTTPS や SSH を毎日使いながら、その中身を自分の言葉で説明できませんでした。AES、RSA、HMAC という単語は知っています。ところが「共通鍵と公開鍵はどうい...
0
1
Comment0
良いコード／悪いコードで学ぶ設計入門 第１６章
第16章 設計を妨げる開発プロセスとの戦い この章では、開発現場で設計の品質を損なう要因として「開発プロセス」そのものがどう関わってくるかを多角的に掘り下げています。技術の話だけでなく、チームや...
1
0
Comment0
伝わるコードレビュー 第8回：コードレビューに活かせる 33 の TIPS Part3-1（全 33 TIPS 中の1~8）
伝わるコードレビュー 第8回 コードレビューに活かせる 33 の TIPS（1/5） はじめに この記事は『伝わるコードレビュー』の学びを整理しながら紹介するシリーズの第8回です 前回までのPa...
0
0
Comment0
180 search resultsShowing 1~20 results
Qiita is a knowledge sharing service for engineers.
- You can follow users and tags
- You can stock useful information
- You can make edit suggestions for articles