2019.02.17昨日(2/17)に以下のCISMのカンファレンスに参加してきました。Tokyo昨年度までは資格保持者でもなかったので遠慮していたのですが、今回はCISAとCISMの両方を保持しましたので、安心して参加してきました。(注:資格持ってなくても参加できますよ。)今回はその発表内容についてブログにしていきます。内容に関して、PCのメモからの転記になりますので、記載ミスや認識違い等があれば教えて頂ければ修正いたします。発表内容のメモでは私が取ったメモを記載します。発表者の資料のリンクを見て頂ければと思います。私のメモを見るよりもそちらがいいですよwプログラム詳細パンフレットのリンクはこちらです。発表内容はブログへの投稿は禁止とのことなので、申し訳ないですが記載はできません。内容はかなり興味深い内容でした。発表内容の資料はこちら自動運転自動車の説明が結構あった。ディープラーニングも結構使うんだな~とただしメインの開発は半導体とソフトウェアの開発らしい人とか車が近くにあるのも検知して、飛び出し事故とかにも減るんじゃないかなと。車、人(携帯とかかな?)にビーコンがあり、ブロードキャストして近くにいる見えない人、車も検知できる。IoTとしてのハッキングは限定的な箇所しかできないと考えている2020年にはロボットタクシーもできる?家から駅までとか決まっている経路であればマッピングしやすいただし、ロボットタクシーになるとハッキングの被害は受けやすくなるかもITの端末に対してと同じようにIoTに対してもやらないと大きな被害が発生してしまう。データは暗号化とかもされていないので、インジェクションすると車を止められたりできるかもしれない。賢いものほどハッキングされやすい。自動車についてはハッキングの被害が今後多く予想されているのですが、やはりそういったことを考えているんだな~と。車をハッキングするだけではなく、その先のサーバへの被害もある可能性あるのでちゃんとそういったことも勉強していかないと、出遅れる可能性もありますね。IoTは今後仕事でも増えてくと思うのでしっかりとノウハウを取得していかなければ。発表内容の資料はこちらビジネスリスクマネジメント委員会報告書内の経営リスクの3番目にサーバー攻撃が入っている。企業経営者も法務、財務同様に技術、ITリテラシーを身につける必要があるそちらに関心がない企業・経営層は今後淘汰されていくかも?CISOが経営層側に入っている。前までは橋渡しの役割だった。担保と重要性の評価サプライチェーンとかは盲点になりやすい。任せちゃうため、管理がちゃんとできていない。セキュリティ対策は思考停止になりやすい一個やって終わりではないし、そもそも業務効率が悪くなるのはそもそも違うのでは?標的型攻撃は開けないのを求めるのではなく、開けた次の対応が重要すぐ報告する等インシデント対応は、PDCAではなくOODAで対応するサイバークエスト2(youtubeで公開されている。私が仕事を始めた当初はセキュリティという部門はなかったですね。運用の一部だったり、テストと同じ扱いだったりしていました。それを考えるとこの数年で大きく状況が変わってきましたね。今や部門の一つを担うことになるのであれば、やはりどこの会社も人材不足になっていくでしょう。セキュリティ教育の需要は今後高まるだろうな~とサイバークエスト2の動画を見たのですが、Hardeningに結構似ているが、求められている個所が違うので、こちらはこちらで面白そうですね。発表内容の資料はこちら大学は結構セキュリティが甘い物理分離がほぼ不可能だったりする学生と教員のネットワークが同じということはよくある学術ネットワークは強い分、セキュリティリスクがかなりあるNIIにSOCはない!ITができなくても(パソコンが触れなくても)セキュリティマネージメントはできる※もちろん知識があった方がいいNII-SOCSでは大学への教育も行っている。大学で自分たちで外部ベンダーのSOCを使用する際に困らないように課題提示も行っている。エリートパニック(資料上に記載)による被害の悪化を防ぐ必要がある。・所感やっていることが非常に感銘を受けた内容でした。教育をしていくのは大事なのでこういったことを実際にやっている人から聞けるのは重要ですね。脆弱性診断をして終わり、だと今後作るアプリケーションに生かせないので、それをどう次に生かせるようにしていかないといけないな~とこれは業界全体にとっての課題だったりもすると思うので、一回ちゃんと考えてみなければ。SOCとして挙動を非常に少ない情報から効率よく厳選して提示するなどのやり方は今後のサービスを考える上でも参考になったり。懇親会で質問した際も色々な話をして頂き、とても良い時間でした。カンファレンス終了後その後は18時過ぎから懇親会があって参加してきました。発表者に質問もでき、他の会社の人たちとの会話もたくさんでき非常に楽しい懇親会でした。懇親会参加者はISACAなので、エンジニア側というよりもマネージャー層側の人たちが多かったですね。(年齢層は若干高め)ISACA主催ということもあり、結構お堅いカンファレンスなのかと思っていましたが、全然そんなことはなく、とても身になるアットホームなカンファレンスでした。次回もこういった機会があれば是非とも参加したいですね。最近とても忙しく、煮詰まっていたところでもあったので、とても良い刺激を受けました!発表者の皆様、運営委員の皆様、ありがとうございました。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。LINEtokoroten0813をフォローするtokoroten0813猫とセキュリティ関連記事セキュリティARPとARPスプーフィング3今回は実際にARPスプーフィングを行い通信の盗聴がどのようにして行われるかを見ていきます。いった方法で実際に盗聴される可能性もあるということをご認識いただければと思います。実際に皆様が管理下以外の環境で行った場合は犯罪になります。2018.08.08セキュリティフリーのWAFを使ってみよう:ModSecurity1今回はフリーのWAFであるMod_Securityの環境を作成していきたいと思います。この記事を見にきた人はご存知の方が多いと思いますが、初心者向けブログですので、説明します。2018.07.08セキュリティHSTSの動作を検証してみた今回は以下の勉強会でnachosさんが発表していた「ヘッダでできるセキュリティ」の「HTST」のデモが中々印象深かったので、そちらの解説を記事にします。前回に引き続き、検証を続けていきます。今回は実際の検証編になります。Serverをお使いの方でまだアップデートを行っていない方はすぐに対応することを強く推奨します。OSコマンドの実行が可能ですので、サーバの乗っ取りが可能です。2019.05.15セキュリティsqlmapを使ってデータベースの中身をのぞいてみよう!今回は脆弱性診断ツール件、攻撃に使用するツールとしても有名なsqlmapを使用して、実際にDBの中身を覗いてみましょう。今回の実施につきましては、管理外のwebアプリケーションに実施した際は攻撃とみなされます。結論から話すとOSコマンドの実行が行われていたからです。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。