セキュリティエンジニアを3年続けて分かったおすすめ勉強法
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
AWSやGoogle Cloudの設定ミスによる情報漏洩、防げてますか？ クラウドの膨大な設定リスクを一覧表示、詳しく説明してくれる新サービス「Shisho Cloud」［PR］
AWSやGoogle Cloudの設定ミスによる情報漏洩、防げてますか？ クラウドの膨大な設定リスクを一覧表示、詳しく説明してくれる新サービス「Shisho Cloud」［PR］ AWSに代表されるパブリッククラウドは、コンピュート、ストレージ、ネットワーク、セキュリティなどシステム構築に必要な全ての要素を網羅しているために、例えばユーザーのアクセス権、オブジェクトストレージの公開設定、ネットワークやVPNの構成、APIの公開範囲など、膨大な設定項目があります。 もしもこれらの設定が間違っていた場合、たとえアプリケーションのコードから脆弱性を排除できたとしても、設定ミスから脆弱性が入り込んでしまう可能性があります。 事実、クラウドの設定ミスによって機密情報が第三者に公開されてしまうようなインシデントは、さまざまな企業や組織で毎月のように起きているのです。 一方で、クラウドを活用すればするほ
サイバー警察に家宅捜索されたときの備え方 ネット時代の警察リスクと対策｜lain
「全く身に覚えのない家宅捜索に入られた」ここ数年、そんな話をよく聞くようになりました。その多くがサイバー犯罪で疑われるケースです。 ネットで世界中が繋がった結果、遠く離れた赤の他人と、何らかの情報が紐付くことが起こり得るようになりました。 その中には当然犯罪者も含まれており、運悪く紐付いたために警察に疑われてしまう人がいるようです。 ネットの普及により、一般市民がとばっちりで警察に目を付けられるリスクは以前にも増して高まっています。 なぜ家宅捜索に入られたのかサイバー警察に誤って家宅捜索された人たちの記事をいくつかご紹介します。 在宅エンジニアが疑われた フリーランスのエンジニアが仕事で不正サイトを調査したところ、アクセス履歴から犯人と間違われた事件です。 真犯人がVPNで身元を隠していたためか、生IPでアクセスした彼が警察に疑われてしまったようです。おそらく警察は、真犯人がヘマして生IP
エンジニアがエンジニアのために開発・検証用 PC を整備した話 - NTT Communications Engineers' Blog
この記事は、 NTT Communications Advent Calendar 2022 15日目の記事です。 2022/12/16 追記 想像以上に反響がありましたので、追記します。 「エンジニアのわがまま」発言について そのような発言が出たのは、エンジニア側とシステム担当が互いに本音をぶつけ合ったからこそでした。 限られた時間枠の中でエンジニア側から畳みかけるように数多くの問題意識や要望をシステム担当側に突きつけるような形となり、双方ヒートアップした結果としてそのような発言につながっていました。 また、システム担当からすると下記の事実もヒートアップにつながる一因だったと思います。 新しい事務用 PC のリリースをやり遂げた直後で、利用する社員から「以前より便利になった」との声も出ていたタイミングだった 事務用 PC と開発・検証用 PC の 2 台持ちが必要なのはエンジニアが多く、
ISMSもとったし、エンジニアだけどITガバナンス主導してきた話をする - LayerX エンジニアブログ
CTO室 @ken5scal です。座右の銘は「当社はブロックチェーンの会社ではもうありません」です。 主にインフラ構築・運用をしたり、社内の基盤を整えたり、不具合を特定して git blame したら自分のcommitで泣いたりしています。 当社は「すべての経済活動を、デジタル化する」というミッションを掲げており、生産性向上の達成という価値を新しいサービスによって提供しています。 しかしながら、新しい価値にはリスクが伴います。信頼できない価値を提供するサービスを採用する合理的な判断はありませんので、お客様に価値を価値のまま提供しなければlose-loseな関係になってしまいます。 今回は2021/08/27に発表されたISMS認証の基準準拠を含む、「LayerXは信頼できる」ブランドを確立していくための当社のITガバナンス活動について触れようと思います。 prtimes.jp ガバナンス
KENRO (ケンロー) | セキュアコーディングを当たり前にするエンジニアの学習プラットフォーム
開発者のためにつくられた 攻撃とコードの修正で学ぶ実践型演習OWASP Top 10 に含まれる脆弱性をはじめ、Webアプリケーション開発で特に意識すべき脆弱性を学ぶことが出来ます。 実際にWebアプリケーションを攻撃するCTF 形式の「ハッキング演習」と、コードを書いて脆弱性を修正する「堅牢化演習」を通じて、開発現場ですぐに活かせる学びを提供します。 脆弱性の知識を基礎から体系的に。 いつもの言語やフレームワークで学べます。演習だけでなく脆弱性の原理に関わる技術の基礎など、脆弱性について体系的に学べるコンテンツを提供しています。（堅牢化演習ではGo、Java、Ruby をはじめとした6言語に対応） また、GraphQLやJSON Web Tokenのような、まだ世の中に対策情報の少ない技術のセキュリティのコンテンツも提供しています。
性的画像目的でYahoo!のエンジニアが約6000人のアカウントに侵入していたことが判明
by Satyendra Kumar アメリカのYahoo!に勤務していたエンジニアが自身の権限を悪用して、約6000人のアカウントに不正アクセスを行いました。犯人の目的は性的画像・ムービーなどで、被害者は個人的な友人や同僚が主でした。 Former Yahoo Software Engineer Pleads Guilty To Using Work Access To Hack Into Yahoo Users’ Personal Accounts | USAO-NDCA | Department of Justice https://www.justice.gov/usao-ndca/pr/former-yahoo-software-engineer-pleads-guilty-using-work-access-hack-yahoo-users Ex-Yahoo employee
7payの失敗、もし自分が構築・運用してたら防げていたか？／なお『7Payの脆弱性は基本情報技術者試験の過去問にほぼ同じ事例があった』というネットユーザからの報告も
丹治吉順 a.k.a.朝P, Tanji Yoshinobu @tanji_y 7pay会見に関する反応をタイムラインで見ているわけだけれど、日本の大企業の中で、テクノロジーを理解している人が（特に役員レベルの意思決定や権限を持つ層で）どれほど冷遇されているか、その結果としていかに無残なことが起きるか──その決定的なモデルケースになったようだ。 2019-07-04 15:29:30 Yuta Kashino @yutakashino （´-`）.｡oO( 7Payの釈明会見，決済会社なのに「二段階云々」発言をみるに，自社のコアの周辺テクノロジーを理解できない脳死のシニアを上に持つというのは，ビジネス継続上の大きなリスクですよね…．理解できない勉強できないシニアを組織から排出する仕組みが必要になっていくかも… ) 2019-07-04 20:46:49
教えてメルカリさん！エンジニアが自由に開発しやすい「情報システム基準」ってどうしてるの？ セキュリティーバイデザインを考える(前編） by PERSOL - TECH PLAY Magazine
TOP マガジン インタビュー 教えてメルカリさん！エンジニアが自由に開発しやすい「情報システム基準」ってどうしてるの？ セキュリティーバイデザインを考える(前編） by PERSOL 教えてメルカリさん！エンジニアが自由に開発しやすい「情報システム基準」ってどうしてるの？ セキュリティーバイデザインを考える(前編） by PERSOL AIやIoTなど、先端IT技術を活用した新たなサービスやプロダクトがどんどん生み出され、イノベーションが加速するこの時代、最も大変なチャレンジを求められているのは、実は情報システム部門なのではないでしょうか？ 「エンジニアに自由を与えたいけど、セキュリティやガバナンス面での制約が…」と悩むパーソルホールディングス 情報セキュリティ部 サイバーセキュリティ室長の持田広志が、月間のサービス利用者数1200万人を超えるメルカリのCSO 伊藤彰嗣氏とInforma
サイバー防衛、高専から新戦力。東大破る快進撃 ニュースイッチ by 日刊工業新聞社
サイバーリスクに対応できる人材を育成するため、全国の高等専門学校で進められている「情報セキュリティ人材育成事業」を活用し、木更津工業高等専門学校（千葉県木更津市）が突出したセキュリティー技術を持つ学生の育成で成果を上げている。５月にサイバー攻撃を受けた際の防御力を競争する「情報危機管理コンテスト」で優勝し、経済産業大臣賞を受賞した。ＩＴに強い関心を持つ学生の自主性を尊重した上で環境と情報を提供することが成果に結び付いている。 ２０１７年の情報危機管理コンテストには２６チームが参加し、１次・２次予選を経て、決勝では木更津高専、岡山大学、早稲田大学、関西大学、東京大学のチームが競った。 木更津高専は情報工学科の米村恵一准教授の研究室に集まる学生でチーム「Ｙｏｎｅ―ｌａｂｏ」を結成して挑戦した。 チームは情報工学科の小高拓海さん（５年生）、齋藤遼河さん（３年生）、望月雄太さん（３年生）、丸山泰史
猶予8時間！脆弱性だらけのサービスを堅牢化する実践型研修 - Speee DEVELOPER BLOG
Speeeエンジニアの西岡（@nisshieeorg）です。 去る7/5(水)、Speeeでは社内の全エンジニア向けに、セキュリティ研修を実施しました。本研修では、株式会社リクルートテクノロジーズの西村宗晃様に講師としてお越しいただきました。この場を借りてお礼申し上げます。 研修の目的 Webを主戦場にして戦う私達エンジニアは、自分たちのサービスそのものや、ユーザー、顧客を守るために、より安全なWebアプリケーションを構築する知識・技術を求められます。もちろんSpeeeでも、このような知識を身につけることは必須とした上で、日々の開発ではソースコードレビューや各種脆弱性診断ツールを用いて、私達が構築するアプリケーションの安全性を高めるよう努めています。しかし一方これまでSpeeeでは、「セキュリティに関する体系的な知識の学習法が会社から提示されていないため、個人の学習に依存している」「小さな
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
サーバー監視、セキュリティのトレンドなど最新の話題がいっぱい！ 「第23回さくらの夕べin大阪」レポート | さくらのナレッジ
2015年2月27日に、大阪で開催された「第23回 さくらの夕べin大阪」に参加してきました。 大阪では半年ぶりの開催で、100人近い方々が参加されました。 今回は、株式会社はてな(以下、はてな)のサーバー管理サービス「Mackerel(マカレル)」や、ウェブペイ株式会社の決済サービス「WebPay」についてご紹介します。 「Mackerelによる簡単サーバー管理入門」 はてなのCTO、田中慎司さんに「Mackerel」を紹介していただきました。Mackerelは、はてなが2014年9月にリリースしたクラウド型(SaaS)のサーバー管理ツールです。 サーバーを複数管理している個人や会社にとって、サーバーの管理や運用などの手間は面倒だし煩わしいものです。できれば、サーバーの保守にはあまり手間をかけたくないでしょう。 そんなニーズにマッチするサービスがMackerelです。 Mackerelは
エンジニアの起業戦略 | F's Garage
免責：自分ではできてないことを書きます。 技術者が起業にするにあたって解決したい問題点 「いいものが売れるわけではない」という言説に対する考え方 これは「いいもの」の定義がズレていることが挙げられます。 必ずしも「問題点をただしく解決するもの」が、ユーザーにとってハッピーであるとは限らないというところから来ていると思います。 解決の鍵ですが、例えばデザイン思考のプロセスにおいては、メンタルモデルが重要視されています。 メンタルモデルとは、「人間が実世界で何かがどのように作用するかを思考する際のプロセスを表現したもの」などと言われていますが、プロダクト開発という視点で言うと、 見た瞬間、触った瞬間に、「あ、これいいよね」って思ってもらえること、と言えます。 「あ、これいいよね」というのは共感のことです。 つまり頭のなかで、その製品の使い方や、使ったイメージが湧いてワクワクしてもらえる、という
あなたの仕事場、見せて下さい：まるで映画！ 複数モニタに囲まれて働くデジタル捜査官の場合 | ライフハッカー・ジャパン
「これがないと生きられない」というアプリ／ソフトがありますか？ バーンズ：疑わしいハードディスクの科学捜査には、AccessDataの「Forensic Toolkit（FTK）」とGuidance Softwareの「Encase」がないと始まりません。ハードディスクを入手したら、まずはMagnet Forensicsの「Internet Evidence Finder」にかけます。詳細捜査が必要となる証拠を手軽に見つけることができるので、非常に便利なツールです。携帯電話やGPSデバイスを取り扱うときは、UFEDの「Cellebrite Touch Ultimate」でデータ抽出を行います。ほかにもいくつかのツールを使っていますが、それを教えたらあなたを殺さなければならなくなってしまいます。 仕事場はどんな感じですか？ バーンズ：3層のデスクに取り囲まれていて、頭上には棚があります。でき
ウノウラボ Unoh Labs: railsのテストをevalを駆使して楽しよう
こんにちは satoです。 testコードではパフォーマンスやセキュリティをさほど気にすることはないと思うので、testコードで evalを使って楽できるケースを書いてみたいと思います。 よく似たModel で Userと Admin があるとします。 二つの Model には confirm というメソッドが定義されていて、ユーザ登録をしてメールで送られてくる URLを をクリックすると status が 'register' から 'confirm' に変更されます。 class UserTest ["status = ?", 'register']) user.confirm assert(user.status == 'confirm', 'confirm error') end end というテストをUserTest と AdminTest に書きます。 しかし以下のような mo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
きょうのおしごと:『技術的には可能ですが違法です』という言葉がうっかり出た件「よく聞くワードだ」「断るときはこれ最強かもしれない」
Railsエンジニアのためのウェブセキュリティ入門
ソフトバンク、LTE-Advancedのデモを公開--銀座で下り700Mbps超え、1Gbps目指す