2021-01-01から1年間の記事一覧
データの可視化 以前、Pythonの可視化ツールの中でPlotlyについて書いた。 chikuwamarux.hatenablog.com それを使って、集計したデータを可視化する。 データはWEBサーバーのログを使用。 chikuwamarux.hatenablog.com 事例集 1時間ごと（level_0）のサーバ…
20周年 OWASP(The Open Web Application Security Project)さんは、設立20周年らしく、CEHのテストを行うEc-councilも20周年らしく、またいろんなセールをやっている。 20年間Securityに取り組んできた成果は大きい。ただ、大きすぎて、飲み込めない感は否め…
CTF（Capture The Flag） セキュリティコンテスト＝CTF、と言っていいらしい。 CTFでは、フラグと呼ばれる文字列を見つけ出せば正解となり得点を獲得できる競技。 それを見つけ出すために、セキュリティ技術が必要とされる。 CTFには攻防戦型（Attack-Defens…
時系列データの扱い 前回、DataFrameに格納されたデータを集計する方法をまとめた。 chikuwamarux.hatenablog.com 日時を表す項目があれば、文字列のまま扱って、groupby()させることも可能。 ただ、月、日、時、分を取り出して格納するのはイマイチ。 例え…
ログの集計 WEBサーバーのログをDataFrameに突っ込むことはできた。これをもとにデータを集計する。 chikuwamarux.hatenablog.com 以下、IISのログを集計するPythonのコードを記述する。 groupby()による集計 ログにおける送信元IPアドレス（c-ip）の件数を…
再度の半額Sale 8月にCyber Awareness Monthということで、EC-Councilが半額Saleをやっていた。 chikuwamarux.hatenablog.com 1年に1度のチャンス、と思っていたけど、またやるようです。 以下の件名のメールが届く。 「EC-Council Cyber Monday 2021- Limit…
脆弱性の無い開発のために 先日、情報処理安全確保支援士のオンライン講座の単元で、「セキュア開発」というものがあった。 DXと言われる昨今、ソフトウェアの製造が増えれば、それだけ脆弱性も増える可能性がある。セキュリティのこと考えなければ、DXなん…
Education Course 編 今まで「Education Seminar/Conference/Event」というカテゴリで、セミナーなどに参加することでECEポイントを取得していた。 今回は、「Education Course」でのECEポイントの取得を試みる。 情報処理安全確保支援士オンライン講習 情報…
改めてOWASPってなんだ？ CEHのテキストにもしばしば登場してきたOWASP。特にWebアプリケーションの脆弱性Top10は、テキストでも詳細に説明されていて、CEHの問題集では、Top10に含まれないものはなんでしょう？なんて問題も出ていた。 OWASPはThe Open Web …
Portswigger Academy終了 197の課題をクリアして、脆弱性に関する記事などを読んで、1か月半くらいで、一通りのことができた。 197の課題をコンプしている人が、時間順に表示されている。 270位ということは、270人がコンプした、ということなんだろうか？意…
ゼロトラストの初手 ゼロトラストを実現しようとすると、認証管理＝Identity and Access Management(IAM)がインターネット上に必要。 オンプレ環境にあるActiveDirectoryと連携するソリューションは多いが、一番、親和性が高そうで、コスパの良いAzure ADが…
Burp三昧 「burp」の意味を検索すると「げっぷ」、だそうです。 げっぷの擬音語がそのまま、単語になったとか。 なぜWeb脆弱性診断ツールにその名前を付けるのか理解に苦しむところです。 前回から1か月ほど、Web Security AcademyでBurp Suiteを使いながら…
Pythonのデータ可視化 データの可視化のためのライブラリがたくさんある。 www.anaconda.com Matplotlibが昔から有名で、そのラッパーライブラリがSeabornらしい。 使い方を眺めてみても、どうも使いづらい。 pandasのDataFrameのメソッドにplot()があり,こ…
オンラインセミナー受講編 前回、オンラインセミナーの受講票が無かったので、セミナーの画面コピーを添付したりして、ECE（EC-Council Continuing Education）ポイントを取得した。 chikuwamarux.hatenablog.com ファイルアップロードで２Mのサイズ制限があ…
WEBサーバーのログ WEBサーバーのログについて、サーバーごとにログパーサーがあって、それで表示するのが手っ取り早い。 WEBサーバーのログ以外に、PCやネットワーク機器のログと結合させてトレースしたい場合など、標準的なログ解析ツールがあれば便利かな…
Web Security Academy入学 Burp SuiteのCommunity Editionの使い方を覚えるため、PortSwiggerが提供するWeb Security Academyに入学、と言っても無料で、メールアドレスがあれば誰でも登録できる。 portswigger.net Webセキュリティに関する教材と、Labと呼…
Burp in the middle Burp Suiteをセットアップして、脆弱性のあるWebサイト＝やられサイト、を準備してみたいと思います。 Burp Suiteセットアップ 以下の3ステップで完了。 Burp Suiteをインストールして。 ブラウザのアドオン「FoxyProxy」を設定して、プ…
Web applicationに関する情報 Web applicationに関するハッキング手法やツールについてまとめようとするが、とくにかく情報量が多い。 CEHのテキストでは、Web Applicationという章がテキストで300ページほどあり、それ以外に、セッション・ハイジャック、We…
IDとパスワードの悩み IDとパスワードの管理が、未だに良く分からない。 パスワード管理で良く言われる、以下の事は頭では理解できる。 数字・記号・アルファベット（大文字・小文字）を混ぜましょう 8文字以上の長さにしましょう パスワードの使いまわしは…
決定木でのビジュアル化 決定木は、「けっていぎ」と読むらしいです。 クラスタの各グループの意味を知るには、決定木が理解しやすさを提供してくれる。 今回も、こちらを参考にさせて頂きました。 yyhhyy.hatenablog.com 実際のコード #決定木のおまじないi…
クラスタ分析 クラスタリング 、クラスタ解析など呼ばれますが、データを一定のグループにまとめること。階層型と非階層型がある。 アンケート結果に対してクラスタ分析を行うことで、いくつかの傾向を読み取り、それに対してアクションを取ることを可能にし…
データの水増し データの水増しをアンケートでやったら偽造ですが、上手に機械学習させるために、少ないサンプルデータに対してよく行われている、とのこと。 特に画像認識系で、画像データが少ない場合など、ノイズを与えてデータを複製する。 後学のため、…
スケーリングの目的 アンケートデータの場合、5段階の回答を求める場合、質問によっては、１に偏ったりする場合がある。各設問でばらつきがでないように調整するため。 スケーリングには、2種類ある。 正規化：「特徴量を0〜1に変換するスケーリング」 標準…
時には、主観に惑わされずに、客観的なデータに基づき判断ができるようにデータ分析の訓練を。 アンケートなどで、意見を収集して施策を決めることがあるが、分析までいかずに集計して終わることが多々ある。 アンケートのデータを使用して分析をしてみる。 …
「EC-Council's Annual Cyber Awareness Month Promo is here!」 という件名のメールが、EC-Councilから届く。 8月16～31日でセールをするらしい。 その内容はというと、オンラインコースが50％になる、とのこと。うそでしょ？ ・1年間のオンラインテキスト…
情報元 GVM単体での情報元が見つからない。 GVMは、 有料製品のGreenbone Professional Edition (GPE)の一部で、Greenbone Source Edition (GSE)として、オープンソースライセンスで提供されているようです。 community.greenbone.net Communityで聞くか、ソ…
情報元 nessusの公式ドキュメントは、以下にPDF・HTMLがある。PDFで600ページほど。 jp.docs.tenable.com コンセプト テンプレート:スキャンとポリシーのテンプレートがあり、スキャナとエージェントに提供される スキャナテンプレート:Discovery、脆弱性、…
情報元 InsightVMの評価版をダウンロードする際、メールアドレスを入力させられる。 2-3日後に営業担当者からメールが届く。その中で、情報元を紹介してくれる。 InsightVMシステム要件 InsightVMスタートアップガイド v1.3 (日本語) InsightVMクイックスタ…
GVMについて GVM（Greenbone-Vulnerability-Manager）は、かつてはOpenVASと呼ばれていた。Openと名が付くらいなので、オープンソースの脆弱性スキャナー。 ライセンスは、GNU Affero General Public License v3.0 or later.と、良く分かりませんが、IPAが解…
nessusについて nessusはTenableという会社が販売している。 jp.tenable.com 無償版は、nessus essentialと呼ばれ、IPアドレス16個に対してのスキャンが可能。有料のフル機能がnessus professionalで、お値段2,990ドル/年など、サポートや契約年数によっても…
