セキュリティエンジニア

こんにちは、かすたーど先生です。 セキュリティ業界を目指している学生さんとお話しする機会がたまにあるのですが、「セキュリティエンジニアの方は、どうやってセキュリティ技術に関する情報収集しているんですか？」と聞かれることがよくあります。情報収集の方法って、学生さんももちろん、セキュリティエンジニアの方同士も「他の人はどうやっているんだろう？」と思っているネタなのではと思いまして、今回ブログのテーマにすることにしました。ということで、私と同じデジタルペンテスト部に所属している一部のセキュリティエンジニア約30名に協力してもらい、セキュリティ技術の情報収集に関するアンケートを実施しました。結果をご紹…

コンピューターの機密保護に欠陥があると知ったとき、それを人にどう伝えたらいいだろうか。 こんにちは、セキュリティエンジニアの一杉です。 食品ビジネス事業会社のセキュリティ担当が、セキュリティ脆弱性診断メニューのネットワーク診断を完全社内リソースで内製化した取り組みについて紹介します。 Contents セキュリティ脆弱性診断とは ネットワーク診断 なぜネットワーク診断なのか？ 内製化に向けた取り組み セキュリティ担当内でネットワーク診断内製化の承認を得ること 診断環境の構築 システムアドミニストレータへのネットワーク診断実施に向けた啓蒙活動 セキュリティ脆弱性診断に関わる対応の流れは？ ネット…

こんばんは。 choco_py3(ちょこぱい)です。 先日ブログに書いた通り、4月からセキュリティエンジニアとして働き始めました。 choco-py3.hatenablog.com 今回は1ヶ月経ってみてからの、振り返りや所感などを書いていきたいと思います。 この1ヶ月でやったこと 会社の先輩や上司に教えてもらったオススメのTwitterアカウント 買った技術書や勉強していること これからの目標 この1ヶ月でやったこと 現在運用している業務全体について＆これからのプロジェクトについての勉強をしている時間と、MTGがほとんどでした。 いきなりOJTでせかせか業務をやるような感じではありませんでし…

こんにちは、くろももです。 今回はSOC(セキュリティ・オペレーション・センター)について考えていきたいと思います。私は前職でSOCで働いてました。 SOCとは下記URLのように、セキュリティに関する監視を行っていく組織となります。監視ということでログやアラート分析/調査をして、調査結果をもとに対応をすることが多いです。 監視ということでIT経験が浅い人でも採用してもらえる場合があり、IT/セキュリティ経験が浅い人けれどもセキュリティに興味ある人がまずはSOCで経験を積むことはよくあります。 www.fsi.co.jp ただ私はセキュリティエンジニアを目指す人が、安易にSOCに行くのは止めた方…

はじめに 2021/2/13、CompTIA Security+の501試験に合格しました。 受験した理由としては、インフラエンジニアとしての業務でシステムのセキュリティを意識することが多く、興味からセキュリティの体系的な知識を身に着けたいと思ったからです。 しかし記事執筆時点では国内でも新しいバージョンの601試験を受けられるそうで、これから受験を考えている方は601試験を受けるものと思いますが、後述する理由により501試験を受けたほうがいいかもしれません。 私が受験した試験は最新のものではありませんが、一度不合格になっている経験もあるため勉強方法についてここで簡単にアドバイスできればと思い…

取締役CTOの小竹(aka tkmru)です。 AndroidベースのVRヘッドセットでは、Android端末と似た方法でMITM（Man In The Middle attack）を行い、 プロキシツール上で通信内容を確認できます。 脆弱性診断の際には対象のアプリケーションとAPIサーバの通信を確認・編集する必要があり、MITMを行います。 また、アプリケーションを開発する際のデバッグにもMITMは有用です。 本記事では、ByteDances社製のPICO 4というVRヘッドセット（以下、VR端末）でMITMを行う方法を解説します。 USBデバッグを有効にする VR端末でプロキシに関する設定…

こんにちは、セキュリティエンジニアのyosukeと申します。私はセキュリティ分野において、数々のクソ案件に参加してきた経験を持っています。この記事では、私の経歴とこのブログについてご紹介いたします。 経歴 現在は主に脆弱性診断をやってます。 昔は（今となっては需要のない）プラットフォーム診断がメインでしたが、今はWebアプリやAPIも触るようになりました。 ペネトレーションテストもやったことがあります。 情シスとして働いていたこともあります。 脆弱性診断士→情シス→脆弱性診断士 副業はやりたいけど空いてる時間で対応できる案件無くて需要が無いそうな。 資格 CISSP RISS（情報処理安全確保…

過去問題はこちら チートシートはこちら ITの安全・安心を支えるセキュリティの番人 情報システムや組織に対する脅威や脆弱性を評価し，技術面・管理面での有効な対策を遂行できるセキュリティエンジニアや情報システム管理者を目指す方に最適です。情報セキュリティの重要性はますます高まっており，いま最も旬なエンジニアです。 国家資格 公的資格 民間資格 業務独占 名称独占 必置 // 0.01 ? 1 : 0"}, "align": {"value": "center"}, "baseline": {"value": "middle"}, "fontWeight": {"value": "bold"}, …

株式会社Flatt SecurityとTokyo HackerOne Clubが共催した脆弱性勉強会「Security․Tokyo #1」より、今回は、LT5「React Hooksに潜む罠」とLT6「一緒にプレイするだけで乗っ取り！？ ～任天堂のバッファオーバーフロー脆弱性～」の発表内容をお届けします。 ＜注意事項＞ 本記事は技術的知見の共有を目的としています。掲載された発表内容の悪用や曲解、その他社会通念に反する行為を固く禁じます。 ▼LT1, 2はこちら▼ blog.flatt.tech ▼LT3, 4はこちら▼ blog.flatt.tech React Hooksに潜む罠 スライド …

みなさんこんにちは。 虎の穴ラボのY.Fです。今回の記事は久しぶりの書評になります。 筆者は普段、虎の穴ラボの中の、アーキテクトチームと言うチームで働いています。現状のアーキテクトチームのお仕事としては、 虎の穴ラボの技術ブランディング 新規システム構築時の技術選定 新規システム構築時の全体的な設計の確認 継続的な技術レベルの向上 インフラ等のコスト削減 全般的なセキュリティ強化 アーキテクトチームの具体的な内容は以下を御覧ください。 toranoana-lab.hatenablog.com 今回の書評は、上記アーキテクトチームで働いている筆者が、オライリー社から出版されている『SRE サイト…

プロダクト開発者のための「セキュリティ診断」、セキュリティ技術を体系的に学べる開発者のための学習サービス「KENRO（ケンロー）」を提供する株式会社Flatt Security。同社では、技術ブログ「Flatt Security Blog」とオウンドメディア「#FlattSecurityMagazine」を運営しています。同社執行役員・CCO（チーフクリエイティブオフィサー） 豊田恵二郎さん、広報 寺山ひかりさんに、情報発信の方針や運営方法についてお話をうかがいました。株式会社Flatt Security 執行役員 CCO 豊田 恵二郎氏 大学在学中よりデザイナーとして活動し、複数のプロダクト…

スマートなタイトルが思いつきませんでした。X（クロス）イノベーション本部 ソフトウェアデザインセンター セキュリティグループの耿です。 インターネットにWebアプリケーションを公開すると、さまざまなHTTPリクエストを受けることになります。中にはアプリケーションを利用する目的ではない、 情報収集や脆弱性を突いて攻撃を狙うリクエストも多数含まれています。攻撃への根本対策はWebアプリケーションレベルで行うべきですが、対策漏れやゼロデイ攻撃に対してはWAFの利用も効果的です。 AWS WAFにはAWSマネージドルールが多数用意されており、簡単に導入し多層防御を実現できます。この記事ではAWS WA…

はじめに こんにちは。セキュリティエンジニアの@okazu_dmです。 皆さんはブラウザにおいてLocal StorageやCookieに格納されている値が暗号化されているかどうかを考えたことはあるでしょうか。これらWebサービスの認証・認可において使われるデータが、XSSのようなアプリケーションの脆弱性への耐性に差があるかどうかは頻繁に議論されるところです。 しかし、ブラウザに保存されたデータが暗号化されているかどうかはまた別の攻撃経路への耐性の話であり、馴染みがないのではないでしょうか。 これは、基礎知識としてLocal StorageとCookieの仕組み/挙動の紹介と比較をしつつ、Go…

2022年12月にセキュリティの勉強を始めてから、一つ感じていたことがあります。 セキュリティの基本がわかっていないから、本や論文を読んでも理解に時間がかかる セキュリティの本を読んでもイマイチ、イメージが湧かない これらの課題を感じていたところ、IPAが提供しているAppGoatというアプリケーションがあることを知りました。 www.ipa.go.jp 本記事はAppGoatに取り組んでみての、私の感想などを述べたいと思います。 AppGoatで何を勉強できるのか？ AppGoatに取り組むと、WEBアプリケーションに対する攻撃や原理、防御方法などを学ぶことができます。 具体的には、表1記載…

勉強会はコミュニティである CEO自ら企画に関わった理由 Security․Tokyoはどのような勉強会を目指しているのか 運営メンバーを募集しています（応募〆切：3/17(金)18:00） Flatt Securityではエンジニアを募集しています こんにちは、Flatt Security代表取締役CEOの井手です。 先日、「面白かった脆弱性の解説」を行う勉強会 “Security․Tokyo #1” を開催し、無事盛況のうちに終えることができました。 ご厚意で会場を貸してくださったウイングアーク1st株式会社様、一緒にイベントの企画・運営を行ったTokyo HackerOne Clubの方…

教育研修事業を担当している片山です。突然ですが、皆さんはセキュリティにどのような印象を持っていますか？「大事なのは分かる、でも難しそう」「興味はあっても、どのように学べるのかが分からない」「そもそもハッカーのような高いスキルを持つセキュリティエンジニアは、どのようにしてスキルをつけたの？」「私にもできるの？」といった、さまざまなご意見があるかと思います。私たちエヌ・エフ・ラボラトリーズ（以下、NFLabs.)は、そのように特殊と思われがちなセキュリティ技術を多くの方が学び、得たスキルを用いて活躍するためのお手伝いをしてきました。今回は親会社のNTTコミュニケーションズで開催した「ハードニング」…

※イメージ画像です。 こんにちは。 会社員向け転職＆ビジネス情報～役立ち便利ガイドの コラムを書いているにっしーです。 前回コラムでの レバテックカレッジプログラミングスクールの特徴はと口コミは？ のご紹介記事はもうお読みいただけましたでしょうか。 プログラミングスクールに通えば将来ITエンジニアになれる約束はあるのか？ プログラミングスクールに通うことではどんなデメリットががあるのかを項目で解説！ プログラミングスクールに通えば将来的にどんな職種のITエンジニアになれるのかを知りたい！ 最後に 今回のコラムでは、 よく広告などで見かける、 「プログラミングスクールに通えば将来エンジニア！」 …