・合格基準は,午前,午後I,午後II試験のいずれも600点です。・スコアの範囲は,最低200点〜最高800点です。いうことで、残念ながら不合格でした。午後Iまでパスしてたのは嬉しかったです。二つの問題から一つ選択して答えるものだったのですが、両方とも苦手なものが含まれていて、かなり選択に迷いました。片方が苦手なアクセス権限、もう片方も苦手なIPsecが含まれていました。結局IPsecが含まれているほうを選択したんですけどね。今回の合格率は12.2%。前回の6.8%と比べると大分あがりましたね。受験者数が減って、合格者数は増えたという状態です。そもそも受験票を紛失するような人(私)にはセキュリティ業務は務まらんってことでしょうかね。それなりに頑張ったし、まぁいいか。来年の秋から験の制度がガラっと変わるかもしれないんで様子見かな。明日合否発表4月に受験した、テクニカルエンジニア(情報セキュリティ)の合格発表が明日(6/11)にせまりました。午前だけでも受かってるといいなぁ。時間があいてしまいました。受験票紛失事件があったものの無事に4/15にテクニカルエンジニア(情報セキュリティ)を受験できました。自信の程は、、「午前が受かってればうれしいな」といって具合です。iTECの模試で成績が良かったので浮かれてました。結果が分かるのは6月です。受験票を紛失していたことに3日くらい前に気づきました。探すことで精一杯で勉強に手がつきませんでした。センターに電話したら大丈夫そうでした。「郵送はもう間に合わないので、代引きの宅配か、取りに来るか」といわれたので宅配にしてもらいました。今日の午後届く予定です。勉強の追い込み時期に、このような状態で仕事の方でもドタバタしていたため、ちょっと不安です。実施日、4/15まで残り一週間になりました。一応、午後の予想問題集も読み終え(≠解き終え)ました。あとは先日帰ってきたアイテック模試の結果で間違えた問題の見直しや、全体的な弱点補強に入りたいと思います。えっと、まずは苦手分野の洗い出しかな。一通り勉強して一番難しいと感じたのはIPsecですね。鍵交換の仕組みがとても複雑です。午後でIPsecのことが含まれる問題がでてきたらその問題は選択しなうようにしようかな、と考えるほどです。SSL-VPNのほうは是非とも押させていきたいです。客先常駐で仕事をしていたのですが、明日から自社での仕事となります。朝起きなくてはいけない時間が1時間遅くてもよくなるのですが、あえて起きる時間は変えずに1時間早く会社に行って始業時間まで勉強しようかと思います。先日iTecの全国統一模試のテクニカルエンジニア(情報セキュリティ)を受けました。今日はその採点された結果が届きました。成績が悪かったのは・ネットワークのセキュリティ(午後�T)・標準化でした。午後�Tが悪かったのはまずいですね。標準化は規格が一杯あって覚えられていません。自分用まとめみたいなのをつくって覚えようかと思います。総合評価はA(A〜E)で一応合格ラインなのですが、全く気が抜けません。現在は午後の練習問題をやっているのですが、結構ボロボロです。解答をみると納得はできるのですが。受験日の4/15までもう半月くらいしかないですね。苦手なところはきちんと向き合って克服したいと思います。私の住んでいるところでは今年になってIC免許証というのが導入されました。私もちょうど更新の時期だったのでIC免許証になりました。従来より少し分厚くなり、本籍が空欄に、そして手数料は450円高いです。設定する必要があります。忘れそうでおっかないです。この暗証番号について気になった点が2点あります。感熱紙なので(少なくとも私のところでは)しょぼい。テクニカルエンジニア(情報セキュリティ)対策です。午後対策本を読み終えたので(ほんとに読んだだけ。)予想問題集にとりかかりはじめました。事前IT知識というところでかなりつまずいています。ネットワークの問題になると急に落ち着きます。2回受験して2回おっこちています。開発系の話はわかるのですが、メモリとかCPUとかそのあたりの話に弱いんです。実務でそういう話がわからなくて困ったことはあまりないのですが...。-みずほダイレクトが導入する新認証方式-2008年の春頃とのことですが、みずほ銀行のインターネットバンキングサービス「みずほダイレクト」で「リスクベース認証」と「ワンタイムパスワード」を導入するそうです。リスクベース認証というのがあまり聞きなれないので、ニュースリリースの図をみてみました。Japanhttp://japan.zdnet.com/video/whiteboard/..「リスクベース認証」は、アクセスログなどからユーザーの行動パターンを分析し、本人確認の確度を高めるものとして注目を浴びている技術だ。みずほダイレクトでのリスクベース認証はログイン時に実施するもののようですね。一方のワンタイムパスワードのほうは振込み時に実施。各金融機関も日々セキュリティ対策を進めているようですね。ワンタイムパスワードによるログイン認証をしている金融機関もあります。機会があったらエントリにしたいです。テクニカルエンジニア(情報セキュリティ)」(略称SV)を受験します。春季に行われている「情報セキュリティアドミニストレーター」が運用メインであるのに対してSVは設計から構築がメインの感じです。受験日が2007/4/15(日)ですから2ヶ月を切ってるところです。1月初めに受験を決め、少しずつ勉強をしています。今午後対策をしていて、そのあと予想問題集でもやろうかと思っています。午後の問題のセキュアプログラミングはJava、Perl、C++のいずれからしいのですが、平成18年春期(第1回)はPerlでした。今年はなんでしょうね。C++が一番馴染みがないです。いうことで、しばらくこのブログはセキュリティネタが多くなるかもしれません。次点詐欺にご注意!http://blog.cybozu.co.jp/aono/2007/01/post_37bd.htmlネットオークションで、惜しくも落札できなかった人に対し、出品者(のフリをした人)が、「落札者ではなく、あなたに売りたいから振り込んで」とメールを出してくるのだそうです。知りませんでしたねぇ。ちなみに私自身はインターネットを11年ほどやっていますが、ネットオークションはしたことありません。Wormを検出http://internet.watch.impress.co.jp/cda/..rootkitを検出・削除できる「ルートキットバスター」を22日に無償公開した。rootkitコンポーネントのほか、これまでトレンドマイクロが確認してきたrootkitコンポーネントを検出・削除できる。XP/2000に対応する。Windowsにもこの手のツールがあるのですね、知りませんでした。ちなみにLinuxではchkrootkitが有名ですね。・H18年度ウェブアプリケーション開発者向けセキュリティ実装講座の開催についてhttp://www.ipa.go.jp/security/vuln/event/200612.html「失敗事例から学ぶウェブアプリケーション開発のヒント」など5つほど講演資料がアップロードされています。「安全なウェブサイトの作り方」IPA資料IPAのサイトに「安全なウェブサイトの作り方」という資料がありました。うまくまとめられています。Web開発者としてはこのレベルは知っておくべきでしょう。「セキュリティセキュリティっていうけど何からすればいいのか分からない」という方が最初に読む資料としても良いと思います。目次を載せておきます。|2006年06月26日とあるカード決済システムで驚いたこと先日、クレジットカードで買い物をした際に店員から渡された控えの伝票を見て驚きました。カード番号と有効期限がまるまる記載されていたのです。いうケースもあるのですね。場合、マスクされてると思ったのですが。受け取った伝票はきちんと見たほうが良いですね。私はカード番号と有効期限の箇所をライターで炙って黒くしました。(感熱紙だったので)リンクは張りませんが、人力検索はてなでも同じような疑問を思った方がいました。スイッチhttp://nais.to/~yto/clog/tb/tb.cgi/200605273デーモン、サーバ、および他人のために実行されるすべてのプログラム(例えばCGIスクリプト)には、-Tスイッチを指定すべきである。[...]すべてのCGIスクリプトに-Tフラグを指定して実行するということは、単に良い考えであるだけではない——それは、荒野のごときインターネットで生き延びるための掟なのである。-Tとかかいておくと、スクリプト内でパラメータ受け取る箇所でちょっとあぶなっかしいところを警告してくれるそうです。|2006年05月06日これがセカンドオーダーSQLインジェクション??私の以前のエントリーでも少し取り上げた「セカンドオーダーSQLインジェクション」。私は参考リンクの紹介程度で終わらせてしまいましたが、高木浩光さんが突っ込んだ解説をなさっている記事を見つけました。「セカンドオーダーSQLインジェクション」ですって?http://takagi-hiromitsu.jp/diary/20051231.html#p05どうやらあの特集でいっているセカンドオーダーSQLインジェクションは本質を示していなそうです。「入力値をサニタイズする」のが「一般的なSQLインジェクション対策」だと誤解をしなければ。入力値だけじゃなくてSQLにかかるすべてのパラメータ(たとえばDBからもってきた値に対しても)でサニタイズが必要、それが一般的なSQLインジェクション対策。それを怠った箇所を攻撃されるのをセカンドオーダーSQLインジェクションと呼ぶのはおかしいような気がします。高木さんの意見に同感です。@IThttp://www.atmarkit.co.jp/fwin2k/productreview/ie7/ie7_01.htmlまた、SSLなどで通信を行う際、Webサイトの素性を証明するために証明書が使われる。書を装う、いわゆる「オレオレ証明書」が悪用される場合があった。これに対しIE7では、信頼されていない発行元の証明書を利用している場合は次のような警告が表示され、その危険性がユーザーに対して強調されるようになっている。いわゆる「オレオレ証明書」を使用してるサイトを見るとき、ちょっと気持ちわるくなりますってことですね。Updateの中にひそかにまざっていました。IE7ではルート証明書はデフォルトでmicrosoftの物しか入ってなくて、そのほかのルート証明書はmicrosoftさんとこから取ってくるんだとか。記憶があいまいですどこかのブログに見た情報なのですが忘れてしまいました。週刊スケッチさんのエントリにありました。?」ようなSQLを予め準備(prepared)させといて、?の部分を実行時に展開させるって方式。1.?の部分に都合の悪い文字が入ってきてもDB側で勝手にどうにかしてくれる。→SQLインジェクション対策2.パフォーマンスアップ抽象的で申し訳ないです。詳細は他サイトをご覧ください。対応してくれてるはず。←【PDF】ですもうちょっと調べてると「セカンドオーダーSQLインジェクション」という攻撃もあるんだそうです。一般的な「SQLインジェクション対策」では防げないんだとか。CSSXSSについてはリアルタイムで情報を仕入れてなかったのでフォローアップ。IE(たぶんWindows版のみ)のCSSXSS(CSSクロスサイトスクリプティング)に関する脆弱性が4月の月例パッチでは修正されていないようです。CSSXSSとは、CSSのimport文などで他ドメインのCSSファイルの内容を取得しJavaScriptで参照でちゃう、みたいなかんじです。月例パッチ適用後、よく出回っていたエクスプロイトコードは無効になった(脆弱性がなくなった)ようにみえて、まだ他の方法でCSSXSSが可能だそうです。>>Seesaaブログ×この広告は180日以上新しい記事の投稿がないブログに表示されております。