セキュリティテストには攻撃者の視点が肝心
ソフトウェアセキュリティエンジニアとトレーナー、両方の経験から言うと、物事を理解する早さは人によって大きく違うものだ。だが、本来優秀な人がなかなか実力を発揮しないことも多い。どんなバグでも突き止められるベテランのテスターが、セキュリティテストにはなかなか習熟できない、といったことがよくある。わたしはこの数年、世界最大級のソフトウェアベンダー数社で開発者チームのトレーニングに従事する中で、彼らの行動を調べ、優れたセキュリティテスターに必要なものを明らかにしようとしてきた。その結果分かったことを紹介しよう。 セキュリティテスターに必要な3つのスキル わたしは、セキュリティテスターは皆、以下の3つの専門スキルをベースとして持たなければならないという結論に達した。 優れた想像力 多くの場合、セキュリティテスターとして欲しい情報は、すべて手に入るわけではない。例えば、SQLインジェクションの脆弱性を
「Nmap」－－フォティーンフォティ技術研究所，能力は製品と同等，コツは速度設定
セキュリティの分野でもよく使われるフリー・ツールがある。その代表例が，ポート・スキャナの「Nmap」やぜい弱性検査ツールの「Nessus」だ。 セキュリティ・ベンダーであるフォティーンフォティ技術研究所 技術担当の金居良治取締役は，サーバーで開かれているポートを調べる際にNmapを利用する（図1）。Nmapは検査対象ホストの挙動からOSやサービスの種類，バージョンを判別する機能を備える。このため，ぜい弱性が発覚しているOSやアプリケーションを利用している場合はすぐに分かる。「設定ミスで不要なサービスが起動したままになっていることがしばしばある。設定に自信があってもスキャンすべき」（金居取締役）という。 図1●ポート・スキャナ「Nmap」の利用例 サーバーの設定に間違いはないか，社内ネットに不正なパソコンが接続されていないかなどを調べる用途に使える。[画像のクリックで拡大表示] また不正アク
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
