今さら聞けないセキュリティ　2020年07月03日

攻撃から学ぶWEBセキュリティ対策（CSRF編）

#はじめに
WEBエンジニアとして成長するために、セキュリティ対策は避けては通れない道ですよね。

僕も含め **「なんとなく知ってる」** という方は多いのではないでしょうか。

大切なWEBサイトを守るためにも、WEBエンジニアとしての基礎を固める為にも、しっかりと学んで一緒にレベルアップしていきましょう。

また、本記事の内容は様々な文献をもとに自身で調べ、試したものをまとめています。
至らぬ点や、間違いがありましたら、コメントにてご指摘をお願いします。

#CSRFって何？
CSRF（Cross-Site Request Forgery）とは、サービスの利用者に意図しないHTTPリクエストを送信させ、意図しない処理を実行させる攻撃手法です。

これだけでは分からないので、攻撃の流れをまとめてみましょう。

その前に、CSRFにおいて大きな鍵となる **Cookie** について簡単に説明します。（すでに既知の方は飛ばしてください）

##Cookieとは
Cookie（クッキー）とはWebサイトへのアクセスを行なったユーザーが、再訪した際に同一人物であることを認識する為に、ブラ

攻撃から学ぶWEBセキュリティ対策（XSS編）

#はじめに
WEBエンジニアとして成長するために、セキュリティ対策は避けては通れない道ですよね。

僕も含め**「なんとなく知ってる」**という方は多いのではないでしょうか。

大切なWEBサイトを守るためにも、WEBエンジニアとしての基礎を固める為にも、しっかりと学んで一緒にレベルアップしていきましょう。

また、本記事の内容は様々な文献をもとに自身で調べ、試したものをまとめています。
至らぬ点や、間違いがありましたら、コメントにてご指摘をお願いします。

#XSSってなに？
XSS（Cross-site scripting）とは、他人のブラウザーで悪意のあるJavaScriptを実行するコードインジェクション攻撃です。

ターゲットに標的を定めて攻撃するのではなく、ターゲットがアクセスするWEBサイトの脆弱性を悪用して、悪意のあるJavaScriptを実行します。

このように攻撃者が直接攻撃していることは被害者には分からないので

**自分のサイトが気がついたら犯罪に加担していた**

という最悪の事態も考えられます。

#JavaScriptでどんな攻撃ができるか
上記のように

最低限押さえておくべきAWSアカウント開設時のセキュリティ対策4つ

# 1. rootユーザーを利用せず、IAMユーザーを利用する
rootユーザーは権限が非常に強い。
なので、IAMユーザーを作成する。
IAMでユーザーを作成すればrootユーザーと同じようにAWSを利用でき、かつ権限管理が可能。

# 2. AWS CloudTrailを有効化する
AWSに対する各種APIアクセスについてロギングするサービス。
AWS上で行われた操作はこのサービスで記録される。

# 3. AWS Configを有効化する
AWSリソースの変更履歴を管理するサービス。
何がどのように変更された追随できる。

AWS Configは各リージョンごとに設定する必要がある。

# 4. Amazon GuardDutyを有効化する
AWS上のさまざまな脅威を検知するサービス。
AWS上で非常に発生しやすいアクセスキーの漏洩事故や、その結果起きる不正なコインマイニングを検知したり、外部からのブルートフォースアタックを検知したりと非常に強力。
本番環境だけでなく、開発環境でよく発生するため、すべてのAWSアカウントで有効化が必須。

OWASP ZAPを使った脆弱性診断入門〜環境構築編〜

#OWASP ZAPを使った脆弱性診断
OWASP ZAPという無償のツールを使って、HTTPメッセージを観察したり、改変することを学びたい。
今回は環境構築までを説明します。
##OWASP ZAPとは
OWASP ZAPとは、セキュリティに関する課題解決や情報共有を目的としたプロフェッショナルが集まるコミュニティーであるOWASPが開発・公開しているWebアプリケーション診断ツールで、無償で公開されている。
OWASP ZAPは、WindowsPC/Mac上でプロキシとして動作し、HTTP通信を観察したり、改変したりすることができる。
ちなみに筆者の実行環境はMacです。

##OWASP ZAPのインストール
###Javaのダウンロード・インストール
OWASP ZAPを起動するために、WindowsPCの方はJava1.8以上が必要となりますので、最新版であるJava1.9をダウンロードします。
※Macの方は既にインストールされているので不要です。
既にインストールされているか確かめる方法として、ターミナルを開いて、
以下コマンドを打ち込むことで確かめることができます。
j

Windows 10でSDカードを完全消去する方法

# 1. 目的
SDカードの破棄が必要になったため、データを完全消去する方法を調べてみました。

# 2. 前提条件
市販のツール等は利用せず、Windows 10の標準機能のみに限定しています。
完全消去した後は、物理的に破壊してから破棄します。

# 3. 手段
### 選択肢1. cipherコマンド
– NTFSの暗号化機能を制御するコマンド（FAT32への対応は限定的）
– Windows 10に最初から組み込まれている（Home 1909で確認）
– 「/w」オプションでワイプが可能
– 実行すると空き領域にデータを3回書き込む（0→1→ランダム）
– 上記より、手順は以下の通り。
1. SDカードをNTFSでクイックフォーマットする
2. コマンドプロンプトで「cipher /w:ドライブレター:」を実行する
– 参考URL：[Windowsでディスクの内容を完全に消去する（@IT）](https://www.atmarkit.co.jp/ait/articles/0303/01/news003.html)

### 選択肢2. diskpartコマンド

あなたのWordPressサイトのセキュリティは大丈夫？

※簡潔に事実だけを伝えたいので、当記事は以降ですます口調を省略します。

不安を煽るようなタイトルで申し訳ないが、
「セキュリティガチガチに固めているし大丈夫だもん！」という方は
このページから去っていただいて構わない。
「WordPressでブログを作り始めたよ！」という初心者にこそ読んで頂きたいし、
また、「セキュリティよくわかんない」などという方にも読んで頂きたいと思う。
前置きが長くなったが、早速紹介をしていこうと思う。

# はじめに
**偽のサイトにアクセスしようとしていますという警告画面が出て、自分のサイトがクラックされた**
というのが事の発端である。

クラックの記事に関しては、宣伝というわけではないのだがぜひ自分の記事を参考にして頂きたい。
自分はプログラミング初学者であり、セキュリティのセの字もわかっていない、いわゆる駆け出しエンジニアだ。
日々の勉強内容を毎日一か月近く、ブログにして更新していたのだが、クラックでフィッシングサイトにされてしまった。
https://qiita.com/chibiharu02/items/e824a810a84632e2197e

Word/Excel/PowerPoint/PDFで仕様書等を外部公開する際に意図しない情報漏洩を防ぐための手順

# はじめに
仕様書等でWord、Excel、PowerPoint、PDF等の文書を顧客に送ったり、ネット上に公開したりすることも多いと思います。しかし、自分で作ったドキュメントを他人の目にさらす前に、最低限ここはチェックすべし！というところを押さえてから公開しましょう。インターネット上では一度公開してしまうと何らかの履歴が残るため、過ちはずっと履歴に記録されたままとなってしまいます( ;∀;)
そうならないように、気を付けましょう。

# Officeファイル (Word/Excel/PowerPoint) の特徴と注意点
古いタイプのフォーマット (拡張子 .doc, .xls, .ppt 等)は**OLE Compound Fileフォーマット**と呼ばれる、同じ構造を持つファイル形式です。また、Office 2007以降で採用された新しいタイプのフォーマット (拡張子 .docx, .xlsx, .pptx 等)は**Open XMLフォーマット**と呼ばれ、ZIPファイルの中にXMLファイルが格納された形式になっています。

いずれの形式の場合も、ファイルにプロパティ情報と

偽のサイトにアクセスしようとしていますが表示されたら

# 偽のサイトにアクセスしようとしています
このメッセージを見たことがありますか？
当記事はWordPressにて、何もしていないのに管理者画面に現れた真っ赤な画面に抗った結果とこうしておけばよかった等の記事になります。

WordPress運営している方で、こうなりたくない方は?以下リンクより

「偽のサイトにアクセスしようとしています」になったら？/1_情報確認編

対策一覧を一通りやってください。

?以下起こったこと

いつものようにWordPressの記事更新しようと管理画面にいくと
この画面が出ました。
ブラウザはChromeです。
?なぜこういうことが起きるのか
https://did2memo.net/2018/01/03/malicious-web-page-chrome-safe-browsi

iOSのリバースエンジニアリングガイドを作った(再)

勉強中の身でありながら公開させていただくのは恐縮なのですが〜❣❣

[iOS App REガイド](https://re-ios-app.netlify.app/)

今の所本筋(RE関連)よりサイドコンテンツから増やしていくつもりです，

## サイドコンテンツ(いずれも鋭意執筆中)
– [ARMアセンブリについて](https://re-ios-app.netlify.app/side-content/arm-assembly.html)
– [用語集](https://re-ios-app.netlify.app/side-content/glossary.html)
– [Machについて](https://re-ios-app.netlify.app/side-content/mach.html)
– [Appleのサンドボックス](https://re-ios-app.netlify.app/side-content/apple-sandbox.html)

クロスサイトスクリプティングが起こる原因とその対策

# クロスサイトスクリティング(XSS)とは
掲示板サイトなどの入力内容をWebページに表示するWebアプリケーションにおいて、Webサイトの脆弱性を利用した攻撃手法のこと。
入力内容からWebサイトの表示を生成する処理の際、Webページに任意のスクリプトが紛れ込み、Webサイトを閲覧したユーザーにスクリプトが実行されてしまう。

# クロスサイトスクリティング(XSS)が起こる原因
起こる原因は2つ

1. 入力が制限されていないこと
2. HTMLタグやJavaScriptなどのスクリプトが入力された場合、その内容をそのまま実行してしまう
→ エスケープ処理がされていない

# 起こるとどうなるのか？
実際にクロスサイトスクリプティングの被害に合うと下記のようなことが起こってしまう。

– ユーザーを騙す表示によるフィッシング詐欺
– 正当なメールやWebサイトを装い、個人情報・暗証番号等が取得されてしまう
– クッキー情報の取得によるセッションハイジャック
– Webアプリケーションなどでユーザーを識別する情報、セッションID（IDやパスワード情報など）のCook

Splunk Cloudの無料トライアルの作成方法

#Splunkとは
[Splunkとは](https://www.splunk.com/ja_jp/about-splunk.html) を参照すると、「Splunk とはあらゆるデータをもとに適切なインサイトとアクションを導き出すソフトウェアです。「スプランク」と読みます。規模や業種にかかわらず、さまざまな組織が Splunk を使用してイノベーションを推進し、IT セキュリティにおける難しい課題解決やビジネスにおける挑戦に取り組んでいます。」と書かれていた。
要するにログのデータをもとに「検索」「分析」「可視化」できるツールのことだ。
[Splunkとは？](https://www.scsk.jp/product/common/splunk/aboutsplunk.html)←こちらにもSplunkの概要が書かれてある。

#Splunkアカウントを作成
[Splunk 無料トライアル](https://www.splunk.com/ja_jp/download.html)で、無料トライアルボタンを押す。
そうするとSplunkアカウントを作成が出てくるので項目を埋める。
日本語で

アクティブディフェンス簡単な説明

　アクティブディフェンスは軍事またはサイバーセキュリティ分野中の防御戦略を指す。サイバーで、アクティブディフェンスはActive Cyber Defenseともいわれる。アクティブディフェンスはパッシブディフェンスに対応する概念である。
###一、定義
　アクティブは、侵入行為がコンピューターのシステムに悪影響を与える前に、適時警告を正確にし、リアルタイムに弾性防御システムを構築し、情報システムが直面するリスクを回避、転送、低減する安全措置である[1]。アクティブディフェンスも一種の変容的アタックタイプセキュリティ対策（offensive security）である。アタックセキュリティ対策の焦点は侵入者を探すことである。場合によっては、コンピューターのシステムが彼らの侵入能力を喪失させたり、彼らの侵入行為を破壊したりする。
###二、アクティブディフェンスとパッシブディフェンスの比較
　パッシブディフェンスはコンピューターがアタックされた後、取るセキュリティ対策である。例えば、システムの中のセキュリティ監査ツール（ファイアウォールまたはウイルス対策ソフト）は、コンピューターのシステム内

GASでソースコードを秘匿する方法

# はじめに
GASで処理した結果をスプレッドシートで他人に見せたいが、そのGASでの処理内容は見せたくない。
ということがしばしば起こります。

例えば、何らかのWebサービスにログインした結果をスプレッドシートに出して他人に見せたいが
ログインに必要なIDパスワードは知られたくない。などなど。

本記事のようにすることで、
他人にソースコードを見せないようにすることができます。

# 実現方法
やり方をざっくりいうと、以下のようにします。

* スプレッドシートとスクリプトを別々に管理する。
* スプレッドシートには他人への閲覧権限を与える。
* スクリプトの権限は自分のみにする。

ちなみに
スプレッドシートとくっついたスクリプトを[Container-bound Scripts](https://developers.google.com/apps-script/guides/bound)、
今回のように別々で管理するスクリプトを[Standalone Scripts](https://developers.google.com/apps-script/guides/stand

セキュリティベンダまとめ（専業ベンダ編）

# 概要
セキュリティ業界にいるんだから、セキュリティベンダのことを知っていてもいいだろうということで、調べてみました。
この記事はセキュリティ専業ベンダ編です。
情報は順次追加していく予定です。（五十音順）
なお、諸事情により外資系ベンダは対象外としています。

# 株式会社アズジェント
– 事業内容：ネットワークセキュリティ製品の販売、ネットワークセキュリティサービスの提供
– ソリューション：Check Point製品、MSS等
– 略称：-
– 従業員数：141名（2020年4月1日時点）
– 資本：独立系（株式会社アズウェルマネジメントという資産管理会社等が大株主）
– Webサイト：https://www.asgent.co.jp
– その他：いわゆるディストリビューターです。特にCheck Point製品には注力しているようで、[2016年に9年連続通算13回目の「Best Distribution Partner」を受賞](https://www.asgent.co.jp/company/history.html)しています。

# 株式会社イーセクター
– 事業内容：

VBSでテキストファイル内にある文字を抽出

VBSでテキストファイル内にある下記の文字だけを抽出したいのですが、どのコマンドが必要でしょうか？
・日付
・処理開始時刻
・処理完了時刻

サイバーセキュリティ・フレームワーク「MITRE CALDERA」紹介：使用方法・ブルーチーム編

# サイバーセキュリティ・フレームワーク「MITRE CALDERA」紹介：使用方法・ブルーチーム編

## はじめに

### 趣旨

本記事は、『サイバーセキュリティ・フレームワーク「MITRE CALDERA」紹介』の 第三弾「使用方法・ブルーチーム編」です。
本編では、サイバー攻撃に対してインシデントレスポンスを行うブルーチームでの MITRE CALDERA の使い方を紹介します。
機能概要や環境構築につきましては第一弾「[機能概要・動作環境構築編](https://qiita.com/shiracamus/items/658ea3e5b28fa5ae3245)」をご覧ください。

### 記事構成

紹介内容が多いため、以下の4記事に分けて紹介しています。

* [機能概要・動作環境構築編](https://qiita.com/shiracamus/items/658ea3e5b28fa5ae3245)
* [使用方法：レッドチーム編](https://qiita.com/shiracamus/items/e1bbdaaeff312e9bd09e)
* 使用方法：ブルーチー

ゼロトラストセキュリティについて参考になった記事一覧

随時追加していきます。

– [VDI（Virtual Desktop Infrastructure）と VPN（Virtual Private Network）と ゼロトラスト の実装 BeyondCorp と](https://ts0818.hatenablog.com/entry/2020/04/09/230512)
– [米グーグルはテレワークでVPNを使わない、なぜなら「あれ」が危険だから](https://xtech.nikkei.com/atcl/nxt/column/18/00692/031000023/)
– [BeyondCorp – A New Approach to Enterprise Security](https://mrasu.hatenablog.jp/entry/2018/08/06/003730)
– [ゼロトラストセキュリティのリーダー企業が語る、実現に必要なポイント3つ](https://active.nikkeibp.co.jp/atcl/sp/b/20/04/09/00170/)
– [【徹底解説】ゼロトラスト・セキュリティを簡

【ネタバレ注意】NIST公開イメージでフォレンジック

# オンライン・フォレンジック勉強会（初級編）
[株式会社イエラエセキュリティさん](https://ierae.co.jp/)が開催された、フォレンジック勉強会で学んだことをまとめます。
今回は、[NISTのトレーニングイメージ](https://www.cfreds.nist.gov/data_leakage_case/data-leakage-case.html)を使いました。
このイメージのシナリオを雑にまとめると、企業の情報漏洩が起き、社員が情報提供者という内部犯行の可能性を、フォレンジックによって解明していく、というものです。

## 使用したツール
– regripper
レジストリのデータを人が見てもわかるような、txt等の形式で出力してくれる

– Autopsy

>Autopsyは、The Sleuth Kitで使用されているオープンソースプログラムやプラグインの多くを簡単に展開できるコンピューターソフトウェアです。グラフィカルユーザーインターフェイスは、基礎となるボリュームのフォレンジック検索の結果を表示し、調査担当者がデータの関連セクションにフラグを付

不正アクセス対策などでよく使われるセキュリティ用語（初心者向け）

#はじめに
最近はどんなITの分野においてもセキュリティが切っても切り離せなくなり、エンジニアは学ぶ必要性が出て来ている。だがセキュリティを勉強しようにも耳慣れない用語が多く、勉強しづらい分野であるのではないだろうか。今回は不正アクセス・クラッキング対策のセキュリティ用語について、初心者に向けて簡単にまとめたいと思う。

#用語一覧

ファイアウォール

インターネットなどの外部ネットワークの不正侵入を防御し、内部ネットワークを保護する仕組み。社内ネットワークと外部ネットワークの中継地点に配置され、通信の制御や監視を行う。

主にファイアウォールには二つの種類がある。（サーキットレベルゲートウェイ型も場合によってはある。）

・パケットフィルタリング型
IPアドレスやポート番号を基に通信を制御する。
・アプリケーションゲート型
HTTP（Webデータの通信）やSMTP（電子メールの送信）などのアプリケーションの通信を代理で行い、通信した「データの中身」を基に通信を制御する。
![インターネット.jpg](https://qiita-image-store.s3.ap-no

CpawCTF level1

セキュリティの勉強しようとして調べたらCTF(Capture The Flag)っていう競技が出てきたので遊んでみた。もう答えもたくさんあがっているけど,
知らなかったこともあるので一応アウトプット。[CpawCTF](https://ctf.cpaw.site/index.php)のlevel1。

### 問題
#### [Crypto] Classical Cipher
解答がすべて`cpaw{答え}`の形式になるので、アルファベットを3前にずらす。ブラウザのF12からコンソールで

“`
const str = “Fdhvdu_flskhu_lv_fodvvlfdo_flskhu”;
let ans = “”;
for(let i=0;i