ロード・トゥ・ザ・ホワイトハッカー

ホワイトハッカーはじめました

YARA

CEH

マルウェア解析・検知ツール YARAは、マルウェア解析・検知ツールで、Virustotalの開発者Victor Alvarezによって開発された、とWikiに記載がある。 ja.wikipedia.org たまに見かけるので、気になっていた。 YARAという単語自体は、 "YARA: Another Recursive…

IoC(Indicator of Compromise)

CEH

IoCってなんだ IoC(Indicator of Compromise)は、侵害の痕跡、侵害指標、痕跡情報などと訳されることが多い。 サイバー攻撃の痕跡をデータベース化して技術仕様として活用することで、攻撃を受けていることを素早く察知し、その影響範囲の最小化を目指すの…

情報セキュリティマネジメントシステム(ISMS)

CEH

ISMS IPAの情報処理技術者試験でISO関係の問題が出題されて、テストの知識として暗記した記憶だけはある。実際、どんなものか改めて確認。 ISMS自体は、直訳すれば、「情報セキュリティマネジメントシステム」で、ちゃんとセキュリティが機能する仕組み、の…

Local Administrator Password Solution (LAPS)

アカウント管理 悩ましいアカウント管理。 MITREのテクニックで、「Valid Account」がある。 attack.mitre.org 以下の4つについて、具体的な防止策、検知、具体例が挙げられている。 Default Accounts Domain Accounts Local Accounts Cloud Accounts Defau…

Githubの情報検索

Githubからの情報漏洩 Githubはソースコード管理サービスで、公開・非公開の設定ができる。非公開であれば、問題は無いはず。 公開設定をした際に、間違えて、シークレットが含まれる情報をアップしてしまうことが問題となる。 それらの情報を見つけるツール…

マルウェアの検体

マルウェアの取得方法 マルウェアに感染したい人はいないと思うが、ウイルス対策ソフトの感度の測定やインシデント訓練などで、安全なマルウェアを使いたいことがある。 こちらの書籍で、取得方法が紹介されていた。 「セキュリティエンジニアのための機械学…

Certified Cybersecurity Technician

CEH

EC-Councilの新しい資格 久しぶりにEC-councilのホームページを見たら、新しい資格が追加されていた。 Certified Cybersecurity Technician(CCT)と呼ばれるもの。 www.eccouncil.org エントリーレベル、ということで、CEHの前提知識のような位置づけになっ…

セキュリティエンジニアのための機械学習

セキュリティと機械学習 セキュリティ分野において、機械学習が使用されているであろうことは想像できる。 ウイルス対策ソフトのAIによる判定、などと目にするようになった。 その恩恵を受けているものの、機械学習の性質上、詳細はブラックボックス化されて…

OWASP Online Academy

OWASP Online Academyとは OWASP Online Academyがあるらしい、ということを知り、早速検索してみた。OWASP上のナレッジがe-learning形式になっていることを期待してしまいます。 プロジェクトの一覧を見ると、「Projects Needing Website Update」として扱…

OWASP Cyber Defense Matrix

OWASP Cyber Defense Matrixの図 OWASPのDocumentation ProjectにCyber Defense Matrixというのがあり、以下の図を提唱している。 横軸の5つのカテゴリ「IDENTIFY,PROTECT,DETECT,RESPOND,RECOVER」はNISTのNIST Cybersecurity Frameworkに定義されている5…

SET(Social-Engineer Toolkit)

ソーシャルエンジニアリング CEHのテキストの第9章はソーシャルエンジニアリングだった。 以下の3タイプに分けて説明されていた。 Human-based Computer-based mobile-based Human-basedには、盗み見=ショルダースニッフィング、ゴミ箱あさり=ダンプスター…

Wi-Fiのセキュリティ(aircrack-ngによるクラック)

不正アクセス 不正アクセス禁止法と呼ばれる法律を改めて確認。 elaws.e-gov.go.jp 「不正アクセス」の定義がありますが、分かりづらい。 ざっくり、 「アクセス権限がないネットワークに侵入したり、パスワードを盗み取ったりすることなどを禁止する法律で…

Wi-Fiのセキュリティ(aircrack-ng)

aircrack-ngについて Wi-Fiのハッキングのデファクトはaircrack-ngのようです。 www.aircrack-ng.org aircrack-ngを検索すると、 「Aircrack(エアクラック)は無線LANのパスワードを解析するプログラムを作成するプロジェクト。代表的なソフトウェアにAircr…

Wi-Fiのセキュリティ(準備編)

Wi-Fiのハッキング CEHのセミナー動画で、講師がaircrack-ngと別付けのWi-Fiアダプタを使用して、WEPのキーをクラッキングするデモがあった。 自分でも試してみたいと思い、実施してみた。 前提条件 ・Wi-Fiアダプタについてはモニターモード/インジェクショ…

ECEの更新

CEH資格の維持 CEHの資格を持っています、というためには、 ・80ドル/年 支払い ・ECE120ポイント/3年 獲得 という条件がある。 今回初めて年会費80ドルを納める。 6月までに納めれば良いのだが、忘れてしまいそうだし、円安だし、ということで手続きを検討…

コンテナのセキュリティ

CEH

コンテナアーキテクチャ KubernetesやOpenshiftなどのコンテナ技術に普及は進んでいるようで、それに伴い、コンテナに対する攻撃もある。 xtech.nikkei.com コンテナ環境を標的にした「kinsing」というマルウェアもあるようです。 atmarkit.itmedia.co.jp 一…

Googleのやられサイト

やられサイトまとめ 敢えて脆弱性を持ったWebアプリケーションで、脆弱性検査(ハッキング)のスキルを向上させる、やられサイト。 OWASPだと、 OWASP JUICE SHOP ソースコード版からDocker版まである。 Juice Shop - Insecure Web Application for Training…

OWASP Dependency-Check

ライブラリのスキャン Log4Shellの通称で有名になっている脆弱性。 Apacheプロジェクトの Log4jというオープンソースライブラリで、致命的な欠陥が見つかったと大騒ぎ。 脆弱性の深刻度を評価するCVSSのスコアでは、最大値となる10.0(緊急レベル)を記録。 …

Hacking Web Applications

CEH

CEHの復習 Webアプリケーションの脆弱性検査をするため、久々にCEHのテキストを見直す。 14章が「Hacking Web Applications」で300ページほどあり、20章のうちで、特にボリュームが多かったと記憶している。 改めて見直すと、基本的な理論からツールの紹介ま…

OWASP ZAPのスキャンの詳細

スキャンの詳細について OWASP ZAPをセットアップして、スキャンの実行までは出来た。 chikuwamarux.hatenablog.com 実際、どんなスキャンが実施されているのか。 スキャンの結果から、以下のようなアラートが上がる。 アラートが上がれば、そのリクエストの…

OWASP ZAP

OWASP ZAPを使う Burp Suiteを使って、アプリケーションの脆弱性診断を、と思っていたのですが、 Scanに関しては、有料版でないとできない。 chikuwamarux.hatenablog.com Burp SuiteのUIは、日本語化出来るらしいのですが、OWASP ZAPはデフォルトで日本語表…

セキュリティの原則

CEH

セキュリティの原則とは? 改めて、「セキュリティの原則」とは何だろう?と考えた。 セキュリティとは、C(Confidentiality:機密性)・I(Integrity:完全性)・A(Availability:可用性)の維持、と簡単に説明する事が多い。これは、ISO/IEC 27000に記載され…

久々のBurp Suite

Portswigger Academy 以前、Portswigger Academy卒業、と浮かれていたら、全然、終わってなかった。 chikuwamarux.hatenablog.com chikuwamarux.hatenablog.com chikuwamarux.hatenablog.com 久々に、Burp Suiteで遊ぼうとおもって、ログインしてみると、ク…

脆弱性情報について

CEH

CVE、CWE、CVSS log4jの脆弱性はCVSSが10です、なんてワードを見る。 改めて、その辺の整理をする。 こちらで、さっぱりとまとめてくれています。 qiita.com CVE:脆弱性を識別するための共通ID(CVE識別番号(CVE-ID)) CWE:脆弱性のカテゴリ分けするための…

MITRE

CEH

MITREって? みとれ、とか読んでしまいますが、まいたー、が正しい発音らしいです。 マサチューセッツ州ベッドフォードとバージニア州マクリーンに本社を置くアメリカの非営利団体です。連邦政府が資金提供する研究開発センター(FFRDC)を管理し、航空、防…

脅威モデリング

脅威モデリングについて OWASP SAMMの中で、脅威モデリング(Threat modeling)という言葉がある。 chikuwamarux.hatenablog.com ビジネス機能:Designセキュリティ対策:Threat Assessmentの中で、 StreamとしてThreat modelingが定義されている。 その内容…

OWASP ASVSとその周辺

OWASP ASVSとは? Application Security Verification Standard=ASVSで、OWASPのプロジェクトで、日本語の訳では「アプリケーションセキュリティ検証標準」が当てられている。 ASVS は現代の Web アプリケーションおよび Web サービスを設計、開発、テストす…

ログ表示(WEBサーバー編)

データの可視化 以前、Pythonの可視化ツールの中でPlotlyについて書いた。 chikuwamarux.hatenablog.com それを使って、集計したデータを可視化する。 データはWEBサーバーのログを使用。 chikuwamarux.hatenablog.com 事例集 1時間ごと(level_0)のサーバ…

OWASP SAMM

20周年 OWASP(The Open Web Application Security Project)さんは、設立20周年らしく、CEHのテストを行うEc-councilも20周年らしく、またいろんなセールをやっている。 20年間Securityに取り組んできた成果は大きい。ただ、大きすぎて、飲み込めない感は否め…

セキュリティコンテスト

CTF

CTF(Capture The Flag) セキュリティコンテスト=CTF、と言っていいらしい。 CTFでは、フラグと呼ばれる文字列を見つけ出せば正解となり得点を獲得できる競技。 それを見つけ出すために、セキュリティ技術が必要とされる。 CTFには攻防戦型(Attack-Defens…