自分の行っているセキュリティ関連の情報収集 - ドキュメントを見たほうが早い
聞いてるポッドキャストでセキュリティ情報収集どうしているのかといった話題があった*1ので、いい機会だから自分の行っているセキュリティ関連の情報収集をまとめてみた。 前提 どんな人 セキュリティに興味あるWebアプリケーションエンジニア*2 興味の範囲 Webアプリケーションにまつわるセキュリティ全般 サービス開発・運用まわりに関するセキュリティ 知りたい情報 関係ありそうな脆弱性情報 興味範囲の最近の話題やトレンド その他セキュリティ関係で話題になっていそうなこと 話題やトレンドはキーワードを拾い後から調べられるように脳にインデックスを作っておくのが目的で、網羅や詳細に知ることはあまり意識していない。 情報ソース 前提に書いた知りたい情報を、各種サイト・ブログ、Twitter、Podcast から収集している。 Twitter は脆弱性情報などスピードが重要なものからトレンドまで幅広く知れ
深夜のXSS講座も？ サイボウズのバグハンター合宿がやたら楽しそうな件
ツールやフレームワークの力は大きいが、さまざまなサービスやシステムを支えるソフトウェアを作っているのは人間だ。そして、そのソフトウェアに含まれるバグや脆弱（ぜいじゃく）性を見つけるのもまた人間だ。その人間同士が1カ所に集まり、集中的に脆弱性を見つけ出す「バグハンター合宿」をサイボウズが開催した。 今や、モノ作りはハードウェアだけでは完結しない。デジタルの力を借り、ソフトウェアやサービスを組み合わせることで他にない独自の価値を生み出そうと多くの企業が取り組んでいる。だが、そこには課題もある。「バグのないソフトウェアはない」といわれるが、もしそれがセキュリティ上の問題につながる脆弱性であれば、ユーザーに害を与える恐れがあるからだ。 そこで今、徐々に増えつつあるのが、自社が提供する製品の脆弱性を見つけ出し、対応に当たる「PSIRT」（Product Security Incident Respo
第53回 偶然？ 必然？――過去のつながりに導かれてキャリアを築いた、セキュリティ業界の異端児
自分を必要としてくれる場所で自分の能力を生かせる――エンジニアにとって最も幸せな働き方を体現しているのが、LINEのセキュリティ室で働く愛甲健二さんかもしれない。 IT業界、特にスタートアップ企業では、「自分はこれがやりたい」という強い意志を持って前進するエンジニアが多い。それを決して否定するわけではないが、愛甲さんはそんな姿勢とは正反対の自然体で、動きの激しいセキュリティ分野でキャリアを積み重ねてきた。「学生さんや他のエンジニアには、あまり参考にならないかもしれませんよ」とはにかみながら、今に至る道のりを語ってくれた。 【転職者プロフィール】 愛甲健二さん（34歳） LINE セキュリティ室 アプリケーションセキュリティチーム（2015年10月入社） 【転職前】 ネットエージェント、FFRIにて主にセキュリティ製品の開発に従事。社外ではセキュリティ・キャンプ講師、カンファレンスでの講演、
九州商船の「弊社WEB予約サービスに対する不正アクセスに関する最終報告」は全てのエンジニアに読んでほしい - orangeitems’s diary
最終報告書を読む 九州商船株式会社のWEB予約サービスに対する不正アクセスについて、最終報告書が公開されました。報告書を読ませていただきましたが、その内容に関して大変勉強となることが多く含まれています。 弊社WEB予約サービスに対する不正アクセスに関する最終報告｜九州商船 ※ITmediaでニュースにもなっていましたので追記しておきます。 japan.zdnet.com 不正アクセスの目的は、linuxに不正侵入し仮想通貨マイニングを行うというものです。データを盗み出すのではなくマイニングというところが2018年っぽいです。ただCPUが100%に張り付くのですぐに見つかってしまっていますが。 この報告書について考察してみます。 原因についての考察 原因はvsftpdで使っているFTPプロトコルをANYで開けていて、ブルートフォースでパスワードが割れてしまったこと。かつ、OS/ミドルウェアの
情報収集のため100レーンのTwitterをウォッチ!? セキュリティエンジニアが語る2017年注目の事件とは【TechLION vol.31レポート】
TechLIONは、IT文化の振興と、UNIX／Linux文化の楽しさを広く伝え、エンジニア同士の連帯を図ることを目的とするトークイベント。日々多くの技術が生まれ、消えていく中、これらの技術を密林の動物たちになぞらえ、百獣の王となる技術を酒を酌み交わしながら発掘・探求しようという目的で開催されている。31回目となる今回はサイボウズ東京オフィスにて「セキュリティエンジニアっておいしいの？」をテーマに開催された。本稿ではその模様をレポートする。 TechLIONは初のサイボウズ社での開催 地下鉄を出るとオフィスビルがひしめき合うビジネス街。スーツ姿のサラリーマンが目立つ。しかし初めてTechLIONの会場となるサイボウズのイベントスペースは、華やかで明るく、まるで別世界だ。大型のキリンのぬいぐるみや、小鳥のオブジェが点在する。壁はグリーンの葉で彩られ、まさにサファリというイメージ。27階ならで
情報セキュリティ関連の求人 - ある研究者の手記
先日転職したわけですが、転職活動序盤に「そもそも情報セキュリティ関連の求人ってどういうのがあるんだろう？」と思ってばーっといろいろな職種を見渡していました。その結果、概ねこういうカテゴリの募集があるのか、という知見を得たのでまとめてみます。これから情報セキュリティ関連の職種への就職・転職を考えている人の参考になれば幸いです。 なお、筆者の個人的嗜好によってバイアスがかかっている可能性は多分にあり、まったくもって網羅性を保証するものではありません。 脆弱性診断 自社で開発するプロダクトやサービスを検査し、脆弱性を発見する仕事。また開発物のチェックだけでなく、セキュアな開発のガイドラインを作成するというような仕事が付け加えられている場合もある。プロダクトやサービスに直接関連する開発の知識・経験が求められる。 SOCオペレータ サーバやネットワークを監視してセキュリティインシデントを発見・対応す
WannaCryや脆弱性とどう戦う？piyologの中の人に聞く、知っておきたいセキュリティ重大事件
WannaCryや脆弱性とどう戦う？piyologの中の人に聞く、知っておきたいセキュリティ重大事件 WannaCry、WPA2の脆弱性など、最近セキュリティに関する事件に注目が集まっています。国内外のセキュリティインシデントにまつわる情報をまとめ続けるpiyokangoさんに、エンジニアが学ぶべきセキュリティに対する心がけを聞きました。 大規模な情報漏えい、標的型攻撃、名前の付いた深刻な脆弱性──昨今のITセキュリティに関わる事件、事故は増えるだけでなく、影響範囲も拡大しています。しかも、その攻撃内容は複雑化し、守る側は常に後手に回らざるを得ない状況が続いています。 だからといって、何もしないわけにはいかないのがセキュリティ。企業の、そして個人のリスクを軽減するためにできることは「知る」ことではないでしょうか。 その「知る」をサポートするのがpiyokango（@piyokango）さん
バグハンター・にしむねあ氏特製“脆弱性たっぷり”Webアプリを半日でどこまで「堅牢化」できるか？ - はてなニュース
2017年7月某日の朝9時、デジタルコンサルティング事業などを手がけるSpeeeのオフィスにエンジニアたちが続々と集まってきた。エンジニアたちに向けて提示されたのは、リクルートテクノロジーズ シニアセキュリティエンジニアの西村宗晃氏（にしむねあ氏）いわく「Ruby on Railsで頑張って書いた、脆弱性てんこもりのソーシャルメディアアプリケーション」。そこから半日かけてそのソースコードを修正し、どれだけ堅牢化できるかに取り組むユニークな勉強会が行われた。 （※この記事は、株式会社リクルートテクノロジーズ提供によるPR記事です） クロスサイトスクリプティング（XSS）やSQLインジェクション、ディレクトリトラバーサルといったWebアプリケーションの脆弱性について、知識としては知っているエンジニアが大半だろう。だがこの勉強会では、にしむねあ氏がGitHubで公開したソースコードを目で見て確認
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
バグハンターが見てきたBug Bountyの7年 / LINE Developer Meetup #34 Security Bug Bounty