セキュリティエンジニア

こんにちは。techtekt編集部です。 2022年8月18日（木）19：30～、TECH Street主催イベント「セキュリティエンジニア勉強会～社内のセキュリティ環境ってどうしてる！？知見・課題を共有～」が開催されます。 そこで、弊社デジタルテクノロジー統括部 シニアエンジニアの柿田が「事業会社のITセキュリティ担当のゼロトラスト導入に向けた挑戦」と題し、講演を行います。 また、ディスカッションパートでは、弊社のインフラ基盤統括部ゼネラルマネジャーの月島も加わり、セキュリティ環境にまつわる課題やその解消に向けて話をします。 イベント概要 登壇する月島や柿田の記事はこちら！ 開催概要 お申し…

こんにちは、かすたーど先生です。 セキュリティ業界を目指している学生さんとお話しする機会がたまにあるのですが、「セキュリティエンジニアの方は、どうやってセキュリティ技術に関する情報収集しているんですか？」と聞かれることがよくあります。情報収集の方法って、学生さんももちろん、セキュリティエンジニアの方同士も「他の人はどうやっているんだろう？」と思っているネタなのではと思いまして、今回ブログのテーマにすることにしました。ということで、私と同じデジタルペンテスト部に所属している一部のセキュリティエンジニア約30名に協力してもらい、セキュリティ技術の情報収集に関するアンケートを実施しました。結果をご紹…

コンピューターの機密保護に欠陥があると知ったとき、それを人にどう伝えたらいいだろうか。 こんにちは、セキュリティエンジニアの一杉です。 食品ビジネス事業会社のセキュリティ担当が、セキュリティ脆弱性診断メニューのネットワーク診断を完全社内リソースで内製化した取り組みについて紹介します。 Contents セキュリティ脆弱性診断とは ネットワーク診断 なぜネットワーク診断なのか？ 内製化に向けた取り組み セキュリティ担当内でネットワーク診断内製化の承認を得ること 診断環境の構築 システムアドミニストレータへのネットワーク診断実施に向けた啓蒙活動 セキュリティ脆弱性診断に関わる対応の流れは？ ネット…

こんばんは。 choco_py3(ちょこぱい)です。 先日ブログに書いた通り、4月からセキュリティエンジニアとして働き始めました。 choco-py3.hatenablog.com 今回は1ヶ月経ってみてからの、振り返りや所感などを書いていきたいと思います。 この1ヶ月でやったこと 会社の先輩や上司に教えてもらったオススメのTwitterアカウント 買った技術書や勉強していること これからの目標 この1ヶ月でやったこと 現在運用している業務全体について＆これからのプロジェクトについての勉強をしている時間と、MTGがほとんどでした。 いきなりOJTでせかせか業務をやるような感じではありませんでし…

はじめに 2021/2/13、CompTIA Security+の501試験に合格しました。 受験した理由としては、インフラエンジニアとしての業務でシステムのセキュリティを意識することが多く、興味からセキュリティの体系的な知識を身に着けたいと思ったからです。 しかし記事執筆時点では国内でも新しいバージョンの601試験を受けられるそうで、これから受験を考えている方は601試験を受けるものと思いますが、後述する理由により501試験を受けたほうがいいかもしれません。 私が受験した試験は最新のものではありませんが、一度不合格になっている経験もあるため勉強方法についてここで簡単にアドバイスできればと思い…

こんにちは、株式会社LegalOn TechnologiesでCSIRTのリーダーを務めている今成と申します。 本記事では、LegalOn Technologies（以下 LegalOn）におけるCSIRTのセキュリティインシデント対応に係るプロセスおよび管理方法を、体系的に整理した事例をご紹介します。企業のセキュリティ担当者の方々に、セキュリティインシデント対応の事前準備という観点で、参考になる情報を記載しています。ぜひ最後までお読みください。

こんにちは！ヒロです。 今回は 君はどれくらい知ってる？ 職種選びに失敗しない！ ○○エンジニアを1言解説 について、お伝えします。 こんなことで悩んでいませんか？ 〇〇エンジニアって、 たくさん種類があるみたいで、 何が何だかわからない。 エンジニアのイメージが 間違っていたら、ヤダな…。 求人募集を見ると、 たくさんの〇〇エンジニアがあって、 違いがわからない。 イメージと全然違う職種に 間違って応募したくないな…。 このような悩みがある方に ピッタリな内容になっています！ こちらを最後まで読むと こんな良いことがあります！ 自分のイメージに合った職種が 見つけられるようになる！ 目指す目…

はじめに どうもナオルです！ あなたは、2023年のITトレンドについて知っていますか？ ITトレンドとは、情報技術の分野で最新の動向や革新的な技術のことです。

株式会社サイバーエージェント、サイボウズ株式会社、ピクシブ株式会社の3社の新卒エンジニア採用・育成担当者の皆様に、新卒エンジニア採用・研修の取り組みや裏話を教えていただきました。今回は各社の新卒エンジニア採用にフォーカスしてお届けします！ ＜各社の新卒エンジニア研修の取り組みについて聞いた後編はこちら＞ flatt.tech プロフィール 技術が好きな学生たちとの接点を増やすための工夫 履歴書不要の選考を実現した狙い 入社前の不安解消、各社の対応方法は？ お知らせ プロフィール 株式会社サイバーエージェント 技術人事本部長 峰岸啓人さん（@mine_roto） 2012年、エンジニアとして株式…

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 弊社では本当にありがたいことに多くのお客様から様々なWebサービスの脆弱性診断をご依頼頂いています。本稿では、特にご依頼いただくことが多いBtoB SaaSという領域において実際にどのような種類の脆弱性が見つかっているのか(我々が発見できているのか)を集計し、上位10種類の脆弱性を紹介します。また、この上位10種類にどのような特徴があるのか、どのようにアクションを行うことでこれらの脆弱性がサービスに埋め込まれないようにできるのかについても解説しています。 データの概要 今回のデータは…

経緯 冒頭を最初読んだときに、まじで怖かったから、恐怖体験を共有しようと思い、翻訳＆要約した。 あと、githubは、個人開発でよく利用するから、まとめる意義があると思ったから 原文 https://dev.to/gitprotect/github-security-best-practices-15-tips-to-keep-in-mind-2914 翻訳＆要約 ここ数年のGitHubにおけるマルウェアやランサムウェアなどのセキュリティ脅威 2019 - トレンドマイクロのマルウェア研究者グループが、SlackとGitHubを悪用する新種のマルウェアを含む水飲み場キャンペーンを発見し、結果的…

取締役CTOの小竹（aka tkmru）です。 先日、Nmapというポートスキャナの日本語ドキュメントにコントリビュートしました。 この記事では、日本語ドキュメントの現状とコントリビュート方法の解説を行います。 デファクトスタンダードのポートスキャナNmap Nmap（Network Mapper）は、セキュリティ業界でデファクトスタンダードのポートスキャナです。 ポートスキャンを行えるだけではなく、Luaスクリプトによって機能を拡張でき、多数の脆弱性を攻撃するためのスクリプトがデフォルトで含まれています。 1997年から存在するツールで、「マトリックス リローデッド」や「ダイ・ハード4.0」…

Hello there, ('ω')ノ ２回目のドクターストップが出たのはサイバーの世界へ入って ２年が経過しようとした時期でした。 相変わらず月の残業時間は200時間を超えていました。 毎日の食事や運動などで健康維持には努めていたものの 医者の診断書がでても会社は何もしようとせずに売り上げばかりを求め サイバーの内容を定期的に求められて、何度説明しても何も理解しようとせず。 そのような時に相談にのってくれたのは、以前の会社の上司や後輩らでした。 過去に働いていた企業の仲間らにサイバーの内容を話すと誰もが理解します。 つまり、説明が下手なわけではなく理解できない人間に問題があり 頭が悪すぎると…

こんにちは。X（クロス）イノベーション本部 ソフトウェアデザインセンター セキュリティグループの耿です。 AWS Security Hubのコントロールには、「変更によってトリガーされるチェック」と「定期的なチェック」があります。 それぞれのチェックスケジュールについてはこちらに記載があり、「定期的なチェック」は次のように書かれています。 定期的なチェックは、最後の実行から 12 時間または 24 時間以内に自動的に実行されます。周期は Security Hub によって決定され、変更はできません。定期的なコントロールは、実行時の評価をキャプチャします。 すなわち、リソース作成・変更後にすぐに…

2023/5/19更新: 本記事のタイトルを「インターンシップ体験記 ～RedTeamでの攻撃技術検証業務～」から「インターンシップ生があるSaaSを用いた未知のC2脅威を実証してみた」に変更しました。内容に変更はありません。 イノベーションセンター RedTeamプロジェクトでは、2月に現場受け入れ型インターンシップを実施しました。 本記事は、本取り組みに参加していただいたインターンシップ生による寄稿となります。 インターンシップ生本人の希望により匿名での投稿とさせていただきます。 ※今回注目したあるSaaSに関する発展的な攻撃テクニック(本記事記載のC2への応用を含む)について、NTTコミ…

こんにちは。TVerの技術発信担当 & 盛り上げ担当の加我です。 先日 4/20, 4/21 にAWS Summit Tokyo 2023が開催されました。 前回の記事 でも少し触れましたが、私は2017年ぶりの参加ということで今回の参加を振り返っていきます。 AWS Summit Tokyoとは テンプレなので書いておきます。 AWS Summit とは？ AWS Summit は日本最大の 「AWS を学ぶイベント」です。クラウドコンピューティングコミュニティが一堂に会して、アマゾン ウェブ サービス (AWS) に関して学習し、ベストプラクティスの共有や情報交換ができる、 AWS に興味…

久しぶりの更新＆今更の案内*1で大変恐縮なのですが、この度、セキュリティ・キャンプ全国大会2023の脅威解析クラスにて『脅威・攻撃手法を読み解こう：脅威インテリジェンスの活用・作成技法』という講義を行うことになりました。 www.ipa.go.jp この記事では、どんな講義を想定しているか、講義内容を紹介します。 セキュリティ・キャンプとは？ セキュリティ・キャンプは、デジタル人材の発掘と育成を目的としたイベントです。セキュリティ業界で活躍しているエンジニア・専門家が講師になり、参加者に講義を行います。無償で、最先端で活躍しているエンジニアの話から直接講義を受けられる絶好の機会です。また、IP…