2018.08.20脆弱性診断ってどうやるんだろう?って方もいるかと思います。学生さんとかで今後進路として、脆弱性診断をやりたいという人がいるかもれませんので、どんな感じで仕事を進めているかを記事にしたいと思います。内容については個人的な見解であることをあらかじめご了承ください。診断の開始前にまずは脆弱性診断をしたいと考えている人や企業や団体から依頼が来ます。電話であったり、メールであったり、前に実施してよかったので紹介してもらったり等様々です。診断をやりたい箇所を簡単にヒアリングして、Webアプリケーションの実施かプラットフォームの実施か、PCIDSS等に準拠しているかの診断等を確認します。(ここではWebアプリケーションの依頼とします。)※もっと細かくメニューがあったりするのですが、ここでは割愛します。Webアプリケーションの場合では、まずはどこの画面を診断するのかを確認し、対象の画面数を確認します。この画面数が金額に大きく影響します。会社によっては機能数だったりもします。依頼してくる側がWebアプリケーションの画面数や機能数と言われてもぱっとしない場合もあるので、画面遷移図や対象のURL数がわかる資料を作成したりもします。(ここは有料であったり、依頼が確定しているなら無料であったりと会社によってまちまちです。)画面遷移図って?方もいるかと思うので、以下に簡単にこんな感じのだっていうのを作成しました。ここにURL等が入っているもの等様々なものがありますので、これが全てではないということを予め念頭に置いといてください。どの個所に対して診断を実施するかを絞る場合も多々あります。対象が確定したら、診断を実施する日や当日の連絡体制等の情報を確認して、診断実施です。診断はどんな感じかこれは本当に会社によって様々ですが、まずは診断を実施する対象にツールでの診断を実施するのが一般的ではないかと思います。注文したサービスによってはその結果を持って診断終了になる場合もあります。各社色々やっていますので、一般的にはツールで検出したものに対して、本当にその脆弱性が存在するかどうかの確認は行うのではないでしょうか?※本当かどうかは依頼する会社に確認してくださいね。マニュアル診断(呼び方はまちまち)と呼ばれるサービスを行っている会社であれば、アクセス制御の不備やパスワード強度や認証箇所に問題がないか等、ツールで検出しずらい問題を見つけるサービスもあります。して、予め決めた日程で診断を終え、報告書の作成を行います。※ツール診断のみの場合はここで、ツールが出力する報告書を提出して終了の場合もあります。オプションになると思いますが、報告会も実施する場合もあります。以下に流れを図で表しましたので、参考にしてください。これが全てではないので、ご了承ください。いった会社を選べばいいのか?ここは物凄い難しいですね。ヒアリング等をしたときにセキュリティについて知っている(脆弱性の話だけではなくシステム等の話まで)人がちゃんと来てくれるのがまずは良いかと思います。※直接会わなくとも電話とかでの対応とかも含む。営業とかで「なんでも大丈夫です!」って言っている人は基本信じない方がいいかと思います。なんかあった時に必ず揉めますし、最悪、実施前に「やっぱりできません><」とか言ってくる可能性もあるので。診断については実施するのが難しい場合もあるので、そこでちゃんと技術的に難しいところは難しいと言ってくれる人の方がいいですね。(セキュリティについて知っていると似たような感じですが。)後は他の信頼できる会社や個人からの紹介であったりするのが、まずは安心かなと思います。う~ん、記事にしてみると上手く伝えられない事ってあるなと実感しました。メール等でも質問があればお答えしますので、気軽に聞いてください。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。LINEtokoroten0813をフォローするtokoroten0813猫とセキュリティ関連記事セキュリティVMにMagentoの環境を構築しようとある案件でMagentoを調べることがあり、今まで構築したことがなかったので、この機会に構築して遊んでみます。構築と書きましたが、そんなに大したものではないので緩く見ていただければと思います。検証について、全くやっていませんでしたね。Severの脆弱性(CVE-2019-2725)の検証を行います。Severについては触れていませんでしたので、まずは環境構築を記事にしていきます。2019.05.14セキュリティWindowsでハッシを使ってみよう今回はハッシュについて、Windowsで使用していこうと思います。このところ、世間を騒がせているパスワードハッシュがありますが、まずはハッシュというものがどういったものか知ることがいいかなと思っています。私はこの業界に入ったばかりの頃はわかっていませんでした・・・2019.02.04セキュリティmetasploitを使ってみよう!nmapによるポートスキャン前回から結構時間が空いてしまいましたが、続きをやっていきます。metasploitを使う環境もできたので、さっそくと実行いきたいところですが、その前にnmapによるポートスキャンを行っていきます。2019.02.10セキュリティISACAの研究会について年末がやってきますね。社会人になって以来、暇な時期が無かったので今年も忙しくなると思っています。今年の6月よりISACA東京支部の情報セキュリティ研究会というところに参加させていただいています。今回はその話題について記事にしていきます。今回の記事については、セキュリティ業界の現状についてです。私自身この業界に入って8年目となり、色々な経験をしました。2回転職しましたが、転職先でもセキュリティ関係の仕事をしています。その上で、考えていることを記事にしていきます。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。