バグバウンティにおけるおすすめの学習コンテンツまとめ(YouTube編) - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティの学習に活かせるおすすめの YouTube チャンネルと「Live Bug Bounty Hunting」の動画について、まとめて紹介します。 1. 始めに 2. おすすめの YouTube チャンネル Top 5 NahamSec STÖK Bug Bounty Reports Explained Critical Thinking - Bug Bounty Podcast InsiderPhd 3. 「Live Bug Bounty Hunting」の動画 NahamSec Live Recon: Hacking Dell's Bug Bounty Program Live Recon: Hacking Tinder's Bug Bounty Program (with @Rhynorater) Live R
「AWSセキュリティを「日本語で」学習していくための良いコンテンツをまとめてみた」というタイトルでAWS Summit Japan 2024のCommunity Stageで登壇しました #AWSSummit | DevelopersIO
「AWSセキュリティを「日本語で」学習していくための良いコンテンツをまとめてみた」というタイトルでAWS Summit Japan 2024のCommunity Stageで登壇しました #AWSSummit AWS Summit JapanのCommunity Stageで登壇した「AWSセキュリティを「日本語で」学習していくための良いコンテンツをまとめてみた」の解説です。 こんにちは、臼田です。 みなさん、AWSセキュリティの勉強してますか？(挨拶 今回はAWS Summit JapanのCommunity Stageで登壇した内容の解説です。 資料 解説 AWSとセキュリティの勉強をしていく時、嬉しいことにAWS関連の情報はたくさんあります。しかし、どの情報から勉強していくか迷いますよね？そこで、AWS Security Heroである私がオススメする「日本語で」学習するための良いA
「セキュア･プログラミング講座」の概要 - 家studyをつづって
セキュア･プログラミング講座 発行機関：情報処理推進機構 発行年月日：2016年10月 www.ipa.go.jp 概要 「セキュア・プログラミング講座」では、製品プログラミングや、Webプログラミングを対象にした、ガイドラインを公開しています。このガイドラインでは、これまでの内容をまとめ、共通的なセキュリティ原則を抽出し、広く開発分野に関わる人に向けた、開発のガイドラインとして公開しています。 リスク＝【情報資産】×【脅威】×【脆弱性】 上記の式に基づき、それぞれの要素を0に近づけることで、リスク低減をはかっています。 セキュア・プログラミングには、脆弱性を作りこまない根本的解決策と予防的に影響を軽減する保険的対策があり、このガイドラインでは上記の2つの内容を含んでいます。 また、脅威モデリングを行い、想定される脅威に優先度をつけて対策していく考え方を解説しています。 設計時の原則 設計
悩めるCISOやCSIRT、セキュリティ担当者を助ける“教科書”とは？
「セキュリティ対応組織の教科書」第3版が2023年2月13日に公開されました。本書は日本ネットワークセキュリティ協会（JNSA）と日本セキュリティオペレーション事業者協議会（ISOG-J）によるドキュメントで、SOCやCSIRTなどのセキュリティ対応組織における構築や運用のフレームワークを解説したものです。 同ドキュメントの内容は、2021年に国際標準のフレームワーク「X.1060」（Framework for the creation and operation of a cyber defence centre）として勧告されました。その後、情報通信技術委員会（TTC）がこの日本語版である「JT-X1060」（サイバーディフェンスセンターを構築・運用するためのフレームワーク）を国内標準フレームワークとして公開しています。 第3版では経営者やマネジャー、現場のセキュリティ担当者がそれぞれ
ペネトレーションテストの検証・勉強用環境の紹介 - ラック・セキュリティごった煮ブログ
デジタルペンテスト部でペネトレーションテストを担当している小松奈央です。 たまに新卒採用活動のお手伝いをさせていただくことがあり、セキュリティ業界を目指す学生さんや、配属先が決まる前の内定者の方とお話する機会があります。そういった際に将来どのような仕事をしたいか聞くと、ありがたいことにペネトレーションテスターになりたいという方が少なくありません。また、ペネトレーションテスターになるためにはどのような勉強をしたら良いかという質問もよくいただきます。 そこで今回は、普段私が実際にペネトレーションテストの検証や、新しい攻撃技術を勉強する際に使用している環境1について、その概要とどのような使い方をしているかをご紹介します。 検証環境の全体像 各ホストの概要 ドメインコントローラ（構築優先度：高） クライアント端末（構築優先度：高） 情シス用端末（構築優先度：中） データベースサーバ（構築優先度：低
CISSP 勉強ノート
目次の表示 1. 情報セキュリティ環境 1-1. 職業倫理の理解、遵守、推進 職業倫理 (ISC)2 倫理規約 組織の倫理規約 エンロン事件とSOX法の策定 SOC (System and Organization Controls) レポート 1-2. セキュリティ概念の理解と適用 機密性、完全性、可用性 真正性、否認防止、プライバシー、安全性 デューケアとデューデリジェンス 1-3. セキュリティガバナンス原則の評価と適用 セキュリティ機能のビジネス戦略、目標、使命、目的との連携 組織のガバナンスプロセス 組織の役割と責任 1-4. 法的環境 法的環境 契約上の要件、法的要素、業界標準および規制要件 プライバシー保護 プライバシーシールド 忘れられる権利 データポータビリティ データのローカリゼーション 国と地域の例 米国の法律 [追加] サイバー犯罪とデータ侵害 知的財産保護 輸入と
社内でCISSP座談会をやってみました - NTT Communications Engineers' Blog
こんにちは。マネージド&セキュリティサービス部セキュリティサービス部門の閏間です。総合リスクマネジメントサービス「WideAngle」のサービス企画を担当しています。 皆さんはCISSPという資格をご存じでしょうか。CISSPとはCertified Information Systems Security Professionalの略で、セキュリティに関する国際的な認定資格です。去る6月23日に社内でCISSP資格保有者による小さな座談会を開催したのですが、本記事では、開催するに至った経緯や、開催してみてどうだったかなどについて紹介したいと思います。 勉強会開催の狙いは、部署でセキュリティ学習の機運を高めること 私が所属している部署は、企業向けにセキュリティサービスを開発して提供することをミッションとしています。メンバーの役割は色々あるので、必ずしも全員がセキュリティに関する深い知識を求め
Web開発者はもっと「安全なウェブサイトの作り方」を読むべき - Flatt Security Blog
画像出典: https://www.ipa.go.jp/files/000017316.pdf こんにちは。株式会社Flatt Security セキュリティエンジニアの奥山です。 本稿では、独立行政法人 情報処理推進機構(以下、IPA)が公開している資料「安全なウェブサイトの作り方」を紹介します。 「安全なウェブサイトの作り方」は、無料で公開されているにも関わらず、Webセキュリティを学ぶ上で非常に有用な資料です。これからWeb開発やセキュリティを勉強したいと考えている方はもちろん、まだ読んだことのない開発者の方々にも、ぜひ一度目を通していただけたらと思います。 一方、「安全なウェブサイトの作り方」では、一部にモダンなアプリケーションには最適化されていない情報や対象としていない範囲が存在します。それらについても本記事で一部、触れていきたいと考えていますので、資料を読む際の参考にしていただ
Webセキュリティ技術のキャッチアップ
[RSJ24] Task Success Prediction for Open-Vocabulary Manipulation Based on Multi-Level Aligned Representations
Amazon.com、同社内で使われていた従業員向けのセキュリティオンライントレーニングを無償で一般公開、日本語版も提供
Amazon.com、同社内で使われていた従業員向けのセキュリティオンライントレーニングを無償で一般公開、日本語版も提供 Amazon.comは、これまで同社内で従業員向けに提供してきたセキュリティのオンライントレーニングコースを無償で一般公開しました。 Starting today, we're making the same cybersecurity training used by Amazon employees available to businesses and individuals around the world at no cost. #CybersecurityAwarenessMonth https://t.co/h1EXJf6lrn — Amazon News (@amazonnews) October 26, 2021 セキュリティトレーニングは「Cyber
Webアプリケーションの脆弱性の解説＆体験ページ
はじめに、脆弱サイトの概要を説明します。このサイトは、データベースに登録された会員情報を検索するサービスを提供しています。 参考書マスタリングTCP/IP 情報セキュリティ編 8章 Webセキュリティ pp.205〜 脆弱サイトの機能と仕組み 1. ユーザはログイン後、登録された検索したい会員名を、Webアプリケーションサーバーで検索します。会員名は、以下に示すHTMLファイルのFormにある変数unameに格納して送信されます。<form action="NotSecureSearchServlet" method="post"> 検索したい会員の名前を入れて下さい（脆弱）：<input type="text" name="uname" /> <input type="submit" value="検索" /> </form> 例えば、AIUEOという会員名で検索する場合に、Webブラウ
NISC - サイバーセキュリティ普及啓発・人材育成ポータルサイト
お知らせ 2024.4.23 掲載施策 「公衆Wi-Fi提供者向け セキュリティ対策の手引き」、 「公衆Wi-Fi利用者向け 簡易マニュアル」、 「自宅Wi-Fi利用者向け 簡易マニュアル」を更新しました。 2024.3.29 経営層向けコンテンツ「事例で学ぶサイバーリスクマネジメント～経営トップがすべきこと 実践編」 講座②「適正なROI（投資対効果）を実現するサイバーリスクマネジメント」、講座③「強固なセキュリティを体現する企業風土の醸成」を公開しました。 2024.3.14 経営層向けコンテンツ「事例で学ぶサイバーリスクマネジメント～経営トップがすべきこと 実践編」 講座①「自社だけでなく「事業」を守る：強靱なサプライチェーンの構築」を公開しました。 2024.3.14 サイバーセキュリティ月間コラム「Capture The Flagの経験を生かす」前田 優人（株式会社サイバーディフ
一番簡単（だと個人的には思ってる）なセスぺ(現:情報処理安全確保支援士試験)の取り方 - Qiita
概要 セスぺ(現:情報処理安全確保支援士試験)を取る為の最安最短コースは何となくこうだろうというのが 自分の中ではあるのだけど、誰も周りにそれを言ってる人がいないので書き残しておこうかと。 合格報奨金などで良いお小遣いになる会社もまだまだ多いと思うので、役に立てば幸いです。 受かるためにやる事 身も蓋もないが、ざっくり言うと３点しかやる事はないです。 午前1、午前2対策 JIS Q 27000と27002を流す 情報処理安全確保支援士の対策書籍で論点を拾う ※本に関しては合う合わないはあるので、立ち読みして合いそうなのを選びましょう。 かかる費用的にも本代と受験費もろもろでも1万2万行かないんじゃなかろうか。 （※22/4/32追記 受験費上がっちゃいましたね… まあ大分安かったしコロナ対策なども増えてコスト増えてるだろうから仕方ない所だろうなとは思うのですが。） 1. 午前1、午前2対策
徳丸試験（ウェブ・セキュリティ基礎試験）の試験情報と勉強方法 - Qiita
ウェブ・セキュリティ基礎試験を受験してきました。 とてもいい資格なので少しでも合格者が増えるように勉強方法含め情報共有します。 ウェブ・セキュリティ基礎試験とは 徳丸本の愛称で有名な体系的に学ぶ 安全なWebアプリケーションの作り方の理解度を問う試験です。 問題作成をご担当されている徳丸先生にちなんで徳丸試験と呼ばれています。 Webアプリケーションを開発するにあたって、知っておくべきセキュリティや脆弱性の知識を身に付けることができます。 「徳丸本読まずしてWebアプリケーションを作るなかれ」と言うぐらい必須の知識です。（私が勝手に言ってるだけです。） 詳細は以下をご覧ください。 https://www.phpexam.jp/tokumarubasic/ 試験の基本情報 試験の形式は以下の通りです。（執筆時点）
セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか - ぶるーたるごぶりん
セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか 自分の振り返りも兼ねて2年分の勉強内容とかをざっくりまとめようと思います。 新卒からバックエンド開発を2年程行い、その後セキュリティエンジニアとして横断セキュリティ部門に異動しました。 そこから更に2年が経ち、来月からセキュリティサービスの開発とかをすることになったので、 もし同じような人が居た際になんとなし参考になればいいかなという意図で書いてます。 ちなみにセキュリティ部門に異動するまでのセキュリティの知識レベルは「徳丸本を2回通しで読んでる」程度です。 セキュリティ部門に移ってからは脆弱性診断・ログ監視・開発ガイドライン周り・脆弱性管理とかをやってました。 本記事では自分自身がユーザ系の企業に属しているので、ベンダーとかそちら寄りの内容ではないです。 あとできる限り社内の事情を記載しません。何が問題になる
2018年版セキュリティ担当者が情報収集する際に見ておくべき資料・サイト80選
組織のセキュリティ対策 2018.7.25 あなたはセキュリティ業務に関連する情報（webサイトや資料）を整理できていますか？ 情報の移り変わりはとても早く、ご存知の通り情報セキュリティの世界も新しい情報を常にインプットしていかなければなりません。ただでさえ忙しい中、新しい情報をキャッチアップし続けるための手間も最小限に抑えたい、そんな想いを持つ方も多いのではないでしょうか。 そこで、今回は「情報セキュリティ担当者がどのサイト・資料に目を通しておけばいいか」を、下記のような視点から80個厳選してまとめました。 ・セキュリティ対策、インシデント情報、脆弱性情報に関する情報を素早くキャッチしたい ・企画資料のために使えそうな統計データや情報が欲しい ・新人研修のための資料を探している RSS、Social Media、キュレーションサイト等情報の入手方法はいろいろありますが、このような形でまと
新卒研修受講レポート～セキュリティ編～ - mixi engineer blog
こんにちは。2017年新卒エンジニアの追田と服部です。 本記事では、4月におこなわれた新卒エンジニア向けのセキュリティ研修の大まかな概要や感想を受講者の立場からお伝えしたいと思います。 講師はXFLAG事業本部 たんぽぽGの亀山さんです。 内容 研修は以下の3部構成で実施されました。 セキュリティの必要性や脆弱性とその対策についての説明 WebGoat(研修用やられサイト)を用いた実習 スマートフォンゲームのチート事情についての解説 1. セキュリティの必要性や脆弱性とその対策についての説明 まず、企業が情報セキュリティ上の過失によって個人情報漏洩などの事故を起こしてしまった場合、どのような影響が考えられるでしょうか。 その企業の信頼の低下やイメージダウンを招いてしまうことはもちろん、それに伴う業績悪化や対応費用によって数百億円規模の損失を計上してしまう場合もあります。 本研修では過去に発
攻撃手口まで教えるセキュリティ講座「Hackademy」で学んでみた (1/2)
技術者以外の人がサイバーセキュリティを学べるコンテンツを提供する 「企業におけるサイバー攻撃の被害拡大は、もはや技術者だけが理解していても歯止めが利かない。『技術者以外の人にも学んでもらいたい』と言い続けないといけないと考えている」（岡田良太郎氏） Hackademyプロジェクトを立ち上げた岡田良太郎氏（左）と蔵本雄一氏。両氏ともインストラクターやコンサルタント、大学講師としてセキュリティ教育を手がけてきた Hackademy（ハカデミー）プロジェクトは、情報セキュリティやITの専門家に限らず、企業のマネジメント層などもサイバーセキュリティを学ぶことのできるコンテンツ提供を目的としている。「Hackademy」とは、ハッキング（Hack）とアカデミー（Academy）の合成語だ。 同プロジェクトを立ち上げたのは、これまでも企業経営者やビジネスパーソン、大学生向けのサイバーセキュリティ教育を
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - pinksawtooth/how_to_become_a_malware_analyst
【図解】https(SSL/TLS)の仕組みとシーケンス,パケット構造 〜暗号化の範囲, Encrypted Alert, ヘッダやレイヤについて～
