2021-01-01から1年間の記事一覧
NexposeのCommunity Editionはどこ？ NexposeはMetasploitと同じく、Rapid7が販売している。 www.rapid7.com Metasploitと同じく、無償版があると思ってサイト内を検索するも、見つかるのは30日トライアルの情報のみ。 NexposeはInsightVMという名称品に置き…
Vulnerability Analysis(脆弱性分析) 英語も日本語も仰々しい感じの単語ですが、脆弱性分析について。 脆弱性があれば、攻撃者はそこを突いてくるので、防御するためには、脆弱性を無くす。 攻撃者の視点を考えれば、ネットワーク経由（エージェントレス）で…
pandasの情報元 この本で一通り勉強しました。 この本は、GitHubにサンプルコードがあります。 github.com 本家のドキュメントは、こちら。 pandas.pydata.org DataFrameの3要素 インデックス カラム データ 各要素へのアクセス方法 movie = pd.read_csv('da…
Information Gathering（情報収集） Information Gatheringは、ハッキングにおける情報収集フェーズを表すのですが、言葉が微妙に異なる。 CEHでは、 偵察（Reconnaissance） スキャンニング（Scanning） 列挙（Enumeration） が事前準備として位置づけられ…
Active Directoryの管理 Active Directoryを使用していると、ゴミデータが黙ったり、変な設定がいつまでも残っていたり、ということがある。 GUIでマウスをポチポチしながらの確認作業も、いつの間にか気が遠のいていく。。。 ユーザーとグループの出力 saku…
Kaliには多くのツールが用意されている。 こちらに一覧表示されて、一通りの説明がある。 tools.kali.org 12のカテゴリでリストアップされたツールの数は以下の通り。 カテゴリ カウント Forensics Tools 23 Hardware Hacking 6 Information Gathering 67 Ma…
初めてのECE（EC-Council Continuing Education）取得 どのカテゴリもハードルが高そうで、まずは「Education Seminar/Conference/Event」で1時間1ポイントが取得できるかに挑戦。 ポイントを得るためには、 「Submit any document/email confirmation/badge…
CEHを維持するために、1年間80ドルの費用とECE（EC-Council Continuing Education）ポイントを3年間で120貯めないといけない。 専用のWEBサイトが割り当てられ、そこで管理される。 1年間80ドルの費用 試験に合格した月の、1年後の翌月までに、80ドルを支払…
Metasploit Frameworkでいろいろ出来ることが分かった。 4000以上あるモジュールから、どれを使うのか、さっぱり分からない。 ここには、POSTとAUXILIARY モジュールについてのリファレンスのみがある。 www.offensive-security.com Kaliでは、msfconsoleか…
ExploitsとPayloadについて、なかなか理解が進まない。 よくある。「〇〇の脆弱性により、任意のコードが実行される」という不具合の情報。 Exploits＝〇〇の脆弱性を突く Payload＝任意のコード実行 という風に理解しました。 Exploitの種類 Active Passive…
CEH合格後、以下の件名のメールが届く。 You Rock! You Passed CEH, You’ve Earned a $450 Gift Card! え？そんなご褒美あるの？と、スパムメールと疑いつつメールを見る。 CEH (Practical) の受験料＄550が、今なら＄100です、とのこと。 さすが商売熱心なE…
さて、どうしたらMetasploit使いになれるのか。 この辺りの本を読んでみても、若干情報が古いのか、イマイチ理解が進まない。 本家サイトでは、有料版のGUIの解説がメインで、Metasploit Frameworkについて記述は少ない。 docs.rapid7.com Kaliのツール紹介…
Google先生に聞いたところ、CEHは2003年にスタートしたようです。 最近のバージョンについても検索すると、 2015年9月:v9 2018年3月:v10 2020年9月:v11 という2年半のサイクルになっているようです。 このサイクルに基づけば、2023年3月にv12がリリースされ…
ペネトレーションテストの初手 Metasploitは、コンピュータセキュリティに関するオープンソースのプロジェクトで、脆弱性、ペネトレーションテスト、侵入検知システム、シェルコードのアーカイブ、アンチフォレンジクス（コンピュータ・フォレンジクスによる…
認定ホワイトハッカー資格のCEH (312-50) v11を目指して、苦労して、合格できました。 なぜか、英語で勉強して、英語で受験する方法を取りました。 他の方のブログも参考にしたのですが、いろいろと試行錯誤した経緯などが他の方の役に立てば幸いです。 ※記…
CEHを受験するためには、受験資格が必要です。 受験資格を得る方法は以下の２つ。 2年間のセキュリティ業務経験の証明 公認のトレーニングを受講する こちらを参考にしています。 Home | CERT コスト的には、 １．の場合100ドル。2年間の経歴が認められなく…
勢いで申し込んだCEHのiLearn packageという自習教材について。 メールで紹介を受けた際は、以下の内容でした。 One Year Access to the CEH E-courseware Six months access to EC-Council's official Online lab environment (iLabs) EC-Council’s Certifi…
CEHのiLearn packageの自習教材以外にも、書籍を購入しました。 いろんなブログで評価が高い書籍、 を買いました。 これに以下の2冊が含まれます。 Exam Guideは購入したものの、ほとんど読んでいないです。 CEHのオンラインテキストの方が図が多く読みやす…
2月からCEHの勉強を始め、4月中旬にはオンライン問題集で8割は正解できるようになる。 ゴールデンウイークの連休に追い込みをかけて、5月中旬に受験を予定。 CEHの受験方法には2種類あるようです。 ECC exam ピアソンVUE CEHのiLearn packageに含まれる受験…
CEHに合格して、ホワイトハッカーもどきにはなれたかもしれません。 証明書も1週間後にダウンロードできました。 証明書 CEHの資格って、合格すれば一生モノ、という訳ではなく、毎年更新しないといけないらしいです。 これは勢いで申し込んだ後に知った事実…
ある日、 「外人から電話がありましたよ。」 と会社の同僚から。 「スイマセン、英語が良く分からなかったので、他部署の人にも協力を依頼して、 対応したのですが、いーしーかうんせる、とか言っていましたが、、、」 とのこと。 結構、パニック状態だった…
CEHを英語で勉強して、テストも英語でやりました。 主な理由としては、以下です。 ・日本語で勉強するにはコスト（50万円）・時間的（5日間フル）な面で厳しい ・国際資格なんで、英語で挑戦してみるか ・今後も情報元は海外からが多いので、英語で知識取得…
CEH取得のため、勢いで英語の自習教材に申し込んで、四苦八苦しながら学習を続けて、何とか受験の申し込みまでこぎつけた。 ここでの心境は、合格の自信がある、というよりも、早く勉強から解放されたい、その一心でした。 受験会場に着いて、受付で試験名称…
CEHの勉強方法について。 結論としては、 CEHのiLearn packageの自習教材とオンライン問題集を繰り返す、 という地道な勉強方法になりました。 まず20章ある講習ビデオを、順々に見ていきました。 その後、ラボをやっていたのですが、途中からすべてやらずに…
