こんにちは！ デジタルペンテストサービス部（以下「DP部」）で、セキュリティコンサルタント📚とかテクニカルコミュニケーター🤝とかをやっているMi*です🤗💓 この記事では、こないだ受けてきた「CISSP®認定試験」のことを書こうと思います！正直いって、このブログを見に来るようなエンジニアの方にはあまり役に立たないかもしれません・・・でもこれからセキュリティエンジニアを目指すよ～って方とか、文系だけどセキュリティ興味あるかも～って方とかの参考になるとうれぴです💓 ギャルかどうかは自分で決める。自分がギャルだと思えばそれはギャルだ てかまじでなんでこうなった 軽く自己紹介みたいになりますが、DP部のつよつよエンジニアたちが「スポーツのスター選手」の集団だとすると、セキュリティコンサルタントやテクニカルコミュニケーターっていうわたしの仕事は、部活のマネージャーみたいな感じです。例えば選手

しゅーとです。先日、日本で初となる実運航船を用いたサイバー攻撃への船舶防御演習を実施しました。実際に動いている船に対して本気でスプーフィング攻撃を仕掛け、船員がどのように対応するかを考える非常にアツいイベントです。 演習の概要は広島商船高専様のプレスリリースをご参照ください。 www.hiroshima-cmt.ac.jp 私は演習で利用する攻撃技術の検討や攻撃ツールの開発、2日目の演習でのレッドチーム（攻撃役）を担当しました。また1日目には受講者への座学のほか、PCを用いて攻撃を行うハンズオンセミナーも行いました。 本記事では私が担当した講義や船舶防御演習の流れを通して、世界でもあまり知られていない船舶への特有の攻撃手法について解説します。 航行を支援するECDISへの攻撃 ブリッジにあるECDISの例*1 船舶には、航行に欠かせない動力や舵のほか、航行を支援する様々な電子機器が存在しま

こんにちは、デジタルペンテスト部のst98です。 私がこのブログでこれまで投稿してきた記事は、いずれもCTFに参加する側の視点から書いたwriteupでした。本記事では、CTFの問題を作る側の視点に立ってお話をしたいと思います。 弊社では、毎年「LACCON」というラックグループ内CTFが開催されています。このCTFにいくつか問題を提供したので、どのように問題を作ったか、具体的にどんな問題を出題したかといったことをご紹介します。 LACCONとは どんな問題を作ったか [Web 234] Hadena Star (7 solves) 問題の概要 解法 裏話 おわりに LACCONとは 冒頭でも述べましたが、LACCONはラックグループ内で毎年開催されているCTFです。LACCONのもうちょっと詳しい話については、LAC WATCHで公開されている記事がありますので、そちらをご覧ください。

デジタルペンテスト部の宮崎です。 突然ですが、ECUという言葉を聞いたことがあるでしょうか？かつてはEngine Control Unitの略称として、その名の通り、エンジンを制御するための電子制御ユニットを指していましたが、今となってはエンジン以外の制御にも使用されるため、Electronic Control Unitの略とされています。 ガソリンと空気の混合気を燃焼させて動力を得るのがガソリンエンジンですが、理想の混合比は1:14.7と言われています。空気の濃度はその時の気温や高度によっても変化するため、その時々で最適な混合比を算出してくれているのがECUの主な役割です。 ECUに内蔵されている空燃比データは、メーカー純正の状態ですと十分な安全マージンがとられているのですが、これを自前で書き換えることで車をチューニングすることなんかもできます。 ECUにはどんなデータが格納されているの

どーも、デジタルテンペスト部の松田です。 先月、単著で書いた『オンラインゲームセキュリティ』という書籍が発売になりました。ここでは本の内容に言及するのではなく「技術書を一冊仕上げる」ことについて思ったことを書いてみたいと思います。 なぜ技術書を書くのか 技術書…専門書を手掛けるからには、お金以外の崇高な理由が必要です。手っ取り早く稼ぎたいのであれば、流行のバズワードを組み合わせて書名を作って、ゆとりある行間のレイアウトでボリュームを水増しして、背表紙が立つように厚い紙を使って製本すればいいと思います。 話を戻すと、第一の理由は「知識の追求と整理」です。いい加減な理解度で専門書を書くことはできないので、アウトプットが本一冊とすると、インプットは筆者の感覚ですが30冊以上は必要ではないかと思っています。本を書くことを自らに強制すると、膨大な知識量が得られる訳で、言い方を変えると、自らに学習を強

こんにちは、かすたーど先生です。 セキュリティ業界を目指している学生さんとお話しする機会がたまにあるのですが、「セキュリティエンジニアの方は、どうやってセキュリティ技術に関する情報収集しているんですか？」と聞かれることがよくあります。 情報収集の方法って、学生さんももちろん、セキュリティエンジニアの方同士も「他の人はどうやっているんだろう？」と思っているネタなのではと思いまして、今回ブログのテーマにすることにしました。 ということで、私と同じデジタルペンテスト部に所属している一部のセキュリティエンジニア約30名に協力してもらい、セキュリティ技術の情報収集に関するアンケートを実施しました。結果をご紹介します。 １：セキュリティ技術の情報収集は何を使って実施していますか（複数回答可） 1位：Twitter 2位：ニュース系サイト 3位：書籍・ブログ（同数） 4位：脆弱性情報データベース 5位：