今さら聞けないセキュリティ　2021年10月01日

セキュリティ検証をやってみよう！！～指紋認証デバイス製作～

#用意するもの
1.Arduino(今回は[Arduino Uno](https://www.amazon.co.jp/Arduino-Rev3-ATmega328-%E3%83%9E%E3%82%A4%E3%82%B3%E3%83%B3%E3%83%9C%E3%83%BC%E3%83%89-A000066/dp/B008GRTSV6)を使用)
2.USBケーブル　type-B
3.[ジャンパーケーブル](https://www.amazon.co.jp/%E3%82%B5%E3%83%B3%E3%82%B3%E3%83%BC%E9%9B%BB%E5%95%86-UL1007-%E8%80%90%E7%86%B1%E3%83%93%E3%83%8B%E3%83%AB%E7%B5%B6%E7%B8%81%E9%9B%BB%E7%B7%9A-UL1007-AWG-28/dp/B071Z6HWKM/ref=sr_1_6?dchild=1&keywords=%E9%9B%BB%E7%B7%9A&qid=1625622644&sr=8-6)
4.ブレッドボード
5.[指紋認証センサ(FPM10A

Wiresharkの使い方メモ【マルウェア解析】

# 環境
“`
os:windows10
“`

# カラム（表示列）の設定
## デフォルトカラム
– No
– Time
– Source
– Destination
– Protocol
– Length

## 追加するカラム
– Source port(unresolved)
– Destination port(unresolved)

### カスタムカラム
– HTTP host
– HTTPS server

## 追加方法
1. カラム名で右クリック=>「列の設定(Column Preferences)」
2. 設定ウィンド左下の「+」ボタンから列を追加
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654294/1b6a5

CompTIA CASP+受験記

#CompTIA CASP+とは
CompTIA CASP+（CompTIA Advanced Security Practitioner）は、CompTIAが提供している以下のセキュリティ資格のうち、最上位の資格です。
（上にあるほど難しく、CySA+とPentest+は同レベル）

* CompTIA Acvanced Security Practitioner
* CompTIA CySA+ | CompTIA PenTest+
* CompTIA Security+

無事に合格したので後進のために勉強法などを記載します。

CASP+では、最大90問出題され、165分以内に回答します。
詳細は公式サイトをご確認ください。

https://www.comptia.jp/certif/cybersecurity/comptia_casp/

#事前調査
以下の過去記事でも書いている通り、受験する試験の事前調査は非常に重要です。

https://qiita.com/log0417/items/f76eaf0fe947ba10a898

CompTIA CASP+はググっても

SIEM とは

## 勉強前イメージ

セキュリティ系第3弾くらい
けど、わからんw
多分これもツールとかやった気がする

## 調査

### SIEM とは

Security Information and Event Management の略で、
日本語では、 セキュリティ情報イベント管理 など言われます。
firewallやIDS/IPSなどの機器やログを一元管理し、脅威を検知・分析して通知を行う仕組みです。

### SIEM の機能

– ログの統合管理

各セキュリティ・ネットワーク機器のログを統合管理することで
ログ同士の分析もしやすくなります。

– インシデントの発見

収集したログを時系列やイベントごとになどに注目して相関分析を行います。
人力ではログの量が膨大で難しいですが、SIEMはルールに則って処理を行うことで
発見することが出来ます。

– 脅威への対策

SIEMで発見されたインシデントはアラートとして管理者へ通知されます。
リアルタイムにログの分析が可能なので脅威の早期発見ができ、
対策を行うことが出来ます。

### SIEM と SOAR との違い

SIEM

Webシステムのセキュリティ対策まとめ　-CAPTCHA-

#CAPTCHAとは

CAPTCHA とは “Completely Automated Public Turing test to tell Computers and Humans Apart” の略であり、コンピューターと人間を区別するためのテストという意味。

CAPTCHAテストは、オンラインユーザーが本当に人間であり、ボットではないかどうかを判断している。ユーザーは、インターネット上で頻繁にCAPTCHAおよびreCAPTCHAテストを実施する。

#色々なCAPTCHA

* 文字の読み取り
* 画像の種類
* 簡単なパズル

ボットには文字を識別できないように、表示される文字は曲がっています。 テストに合格するために、ユーザーは歪曲された文字を読み、正しい文字列を入力し、フォームを送信する必要があります。 入力された文字が一致しない場合、ユーザーは再試行します。 こうしたテストは、ログインフォーム、アカウント作成、オンライン投票および電子商取引チェックアウトページなどで一般的に利用されています。

__単一のチェックボックスを使用したreCAPTCHAテスト__
![

SOARとは

## 勉強前イメージ

セキュリティのなにかのツールって感じ？

## 調査

### SOAR とは

Security Orchestration, Automation and Response の略で、
セキュリティに関する業務を自動化・効率化するソリューションのことを指し、
セキュリティインシデントの管理機能や対処の自動化、また脅威を自動で検知するなどの機能があります。
組織内の機器や外部サービスから収集された脅威情報(下記の三要素)を一つのプラットフォームに統合します。

– インシデント対処の自動化
– ルールを定義して判断や対処の自動化
– インシデント管理
– 発生したインシデントやチームの管理
– 脅威インテリジェンスの活用
– 外部からの脅威情報を集めて検知精度を高める

### SOARのメリット

– インシデントの自動化

完全な自動化、また一部自動化など程度はありますが、
インシデントの種類等によって一次対応をソリューションに任せることが出来ます。

– 業務プロセスの統一で、連携を強化

プロセスを一つにすることで、一つのプラットフォームで完結でき

Railsプロジェクトにおけるセキュリティ（ペネトレーションテスト指摘共有）

# 0. はじめに
これまで複数の企業にてRailsプロジェクトに携わらせていただきましたが、その中で何度かペネトレーションテストを行っていただく機会に恵まれました。そこで、本記事では過去に指摘されたことのある事項を紹介したいと思います。なお、ここで紹介した指摘はすべて修正済みとなっています。

# 1. Cookieセッションでログイン
### 指摘事項
Rails.application.config.session_storeで:cookie_storeが指定されており、Cookieが盗み取られると不正ログインができてしまう

### 対策
Railsはデフォルトではセッション情報はCookieのみに保存し、サーバーサイドで保存しません。これでは、Cookieが盗み取られてしまうと不正にログインが可能となってしまいます。そこで、redisやactiverecord-session_store[^1]を利用して、セッション情報をサーバーサイド側に持たせる必要があります。
リレーショナルデータベースを利用しているのであれば、activerecord-session_storeを利用す

CSIRT とは

## 勉強前イメージ

それぞれセキュリティの調査してるときに出てきたけどわからなかった

## 調査

### CSIRT とは

Computer Security Incident Response Team の略で、シーサート と読みます。
セキュリティインシデントに関する報告を受け取って、調査・対応を行うチームのことを指します。

1988年にネットワークに甚大な被害を与えたことから、インシデント対応と情報共有を担う組織として
CSIRTが米カーネギーメロン大学内に設置されたのが始まりで、その後世界各国で作られるようになた。
日本ではJPCERT/CCという組織が1996年に発足しました。
イメージとしては、CSIRTという組織がどこかに存在する というより
セキュリティインシデントの調査・対応を行うチーム というイメージで社内・組織内で発足することがあります。

### CSIRT の種類

CSIRTにもいくつか種類があって、6つに分類されます。

– National CSIRT

国・地域が関わるインシデントに対応するCSIRTで、国や地域との窓口として活動します。

【情報セキュリティマネジメント】第6章「テクノロジ ストラテジ」

###RAID
複数台のハードディスクを接続して全体でひとつの記憶装置として扱う仕組み

#####RAID0
複数台のハードディスクにデータを分析することで高速化したもの
ストライピングという

#####RAID1
複数台のハードディスクに同時に同じデータ書き込み
ミラーリングという

#####RAID3 RAID4
複数台のディスクのうち1台を誤り訂正用の
パリティディスクにし誤りが発生した場合に復元する
冗長様のディスクのようなもの

#####RAID5
パリティをブロックごとに分散して通常時にもすべてのディスクを
使えるようにした方式

#####RAID6
RAID5では1代のディスクが故障しても他のディスクの排他的論理和を
計算することで復元できる
しかし同時に二台壊れる場合もある、2台のディスクが故障しても支障がないようにした方式ををRAID6という

###ストレージ
#####DAS(Direct Attached Storage)
サーバーにストレージを直接接続する従来の方法

#####SAN(Storage Area Network)
サーバーとストレー

Security Operation Center とは

## 勉強前イメージ

365日24時間セキュリティ見守る人？

## 調査

### Security Operation Center とは

Security Operation Center 略して SOC、
サイバー攻撃の検出、分析を行いアドバイスを行う専門組織です。
通常時はネットワーク・デバイスの監視を行います。
背景としては、システムの環境もクラウドとの連携も行われることが多い昨今、
サイバー攻撃も多種多様になり、あらゆる手段で狙われるようになりました。
そういった中で各企業から需要が高まっています。
社内で行う場合もあれば、外部に委託する場合もあります。

### SOCの主な業務

– アラート監視

アラートの検知を行います。
firewallやIDS/IPS、WAF、ADの認証サーバやwebフィルタリングなど
多岐にわたるデバイスのログをSIEMというシステムに集約し、検知を行います。

– 分析

検知したアラートの分析、攻撃内容にして特定します。

– 調査

外部機関からのセキュリティ情報についての調査などを行います。

– 定期報告

発生したインシデン

新・明解C言語入門編のプログラムをスタックオーバーフローを用いて変数を不正に上書きする

諸兄は”はじめて学ぶバイナリ解析”という本をご存じだろうか。その名の通りバイナリについて書かれている本なのだが、その中にスタックオーバーフローを起こして変数の値を上書きするという項目があった。その項目を読んだとき、筆者はふと閃いた。「C言語を勉強していたときのプログラムってスタックオーバーフローで攻撃できるんじゃね？」そう思ったとき、筆者はいてもたってもいられずさっそくはるか昔に使っていた”新・明解C言語入門編”を取り出し、攻撃できそうなプログラムを探した。するとあったではないか！スタックオーバーフローにぴったりなプログラムが！ということで今回は”新・明解C言語入門編”に載っていたプログラムをスタックオーバーフローさせて不正な動作をさせようと思う。

#スタックオーバーフロー
実際に行う前にスタックオーバーフローについて軽く説明しよう。まず、メモリ上にはスタックと呼ばれる変数などのデータを保存しておく場所がある。その変数にあまりに大きすぎるデータが入ってしまうとデータがあふれてしまい（オーバーフロー）、他の変数の値を上書きしてしまうことがある。これがスタックオーバーフローだ。簡単に言

ACDLを提唱します。

#概要

クラウドは、嫌いなので、ACDLを提唱します。

#ACDLとは

アプリは、クラウド、大切なデータは、ローカル。
クラウドに、データは渡さない。
「その船を漕いでゆけ
　おまえの手で漕いでゆけ
　おまえが消えて喜ぶ者に
　おまえのオールをまかせるな」

#クラウドの危険性

基本サービスは無料、一部特別な機能や保存領域を増やすために課金が必要など、利便性が高く、無料で業務に役立つアプリはたくさんあります。
もちろん、そのどれもが通信とデータの暗号化、セキュリティ性の確保などが前提となっており、なおかつ信頼のおける企業や組織としての地位を確立していることから、
安心・安全だと信じてしまっても仕方ないと言えます。
しかし、何らかのデータを外部に預けるということは、リスクが発生するということでもあります。
外部アプリやクラウドサービスに依存するということは、リスクを増やすことと同義と留意しておく必要があります。
無料で利便性の高いアプリの中には、最初から利用規約でデータの取扱いについて明記しているものがほとんどです。
もちろん、有名かつ大手のアプリであれば、ユーザー側が一方的に不

Apple Silicon Mac(M1 Mac)で徳丸本の実習用仮想マシンを動かす

# はじめに
徳丸本(体系的に学ぶ安全なWEBアプリケーションの作り方 第２版)の実習用仮想マシンは、Apple Silicon Mac(M1 Mac)上では本書の手順通りでは動かすことができません。今回、Mac向けの仮想化環境である[UTM](https://mac.getutm.app)を使って何とか動かすことができましたので、備忘として公開します。

# 想定する読者
– 徳丸本を買って実習しようとワクテカしてたけど、Apple Silicon Macしか持ってなくてつまづいてしまった方

# なぜ動かない?
徳丸本の実習環境はx86系アーキテクチャCPU向けの仮想マシンとして構成されていますが、Apple SiliconのCPUはARMアーキテクチャであり**互換性がない**ためです。
VirtualBoxをはじめ、一般的なハイパーバイザーは異なるアーキテクチャ間の翻訳はしてくれません。

# 使うもの

Apple Silicon Mac

言わずもがなですね。本記事の執筆にあたってはMacBook Air(M1, 2020)で確認

【悪用ダメ】簡単★パスワードクラッキング

#初めに

どうも、クソ雑魚のなんちゃてエンジニアです。

皆さんこんな経験ありませんか？
「あああ！このZipファイルのパスワード忘れた！！わっかんね！どうやって開こう！！」

そんな皆さんにこの記事を読んでいただき
「諦め….ないぞ！パスワードクラッキングだ！！（いや違うか？？）」
といったマインドを持っていただけるように記載します。

今回はお手持ちのWindows環境で簡単にパスワードクラッキングできるツールをご紹介いたします。
Kali Linuxという難しい環境は使いません。皆さんのビジネス環境は大体Windowsだと思いますので。

___※悪用するのはやめてください。あくまで社会への貢献のためにこれらの技術を使用してください。法に触れるので。___

#目次

+ パスワードクラッキングの攻撃手法
+ ブルートフォース攻撃
+ リスト型攻撃
+ 使用するツール紹介
+ John the Ripper
+ Hashcat
+ 環境構築
+ John the Ripperダウンロード
+ Hashcatダウンロード

【悪用ダメ】簡単★ポートスキャンまとめ

#初めに

こんにちは、初投稿です。
未経験エンジニアのクソ雑魚です。

何を思い立ってか、内気で引きこもってた僕が記事を書こうかなと思い始めました。
記念すべき初投稿内容は、公開サーバへのポートスキャン方法を書いてみようかなと。
___※悪用するのはやめてください。あくまでペネトレーションテストなどの社会への貢献のためにこれらの技術を使用してください。法に触れるので。___

#目次

+ Openポート調査に役立つサイト
+ Nmapでのポートスキャン
+ 基礎編
+ 応用編
+ まとめ
　

#Openポート調査に役立つサイト
調査サイトは以下の二つです。
IoT機器のセキュリティ強化のために作られたサイトですね。

+ [Shodan](https://www.shodan.io/)
+ [Censys](https://censys.io/ipv4)

### Shodan
左上のSearch欄（灰色）に調べたいサイトのURLやIPを叩き込めばそのサイトの情報が見えます。

![shoda2.png](https://qiita-image-store.s

Webシステムのセキュリティについてのまとめ -サイバー攻撃編-

# はじめに
近年、多様化しているサイバー攻撃を耳に挟みます。こういった脅威に備えるためには、サイバー攻撃がどういったものであるのかを理解する必要性があると思い、記事にまとめて行きたいと思います。

#サイバー攻撃の目的
代表例として、金銭の要求。他にも、不満を持つ企業や組織が運営するシステムにダメージを与えて、損害を発生させることを目的としたサイバー攻撃もある。

#DDoS攻撃
DDoSとは「Distributed Denial of Service attack」の略で短時間にサーバーが処理できないような大量のアクセスを行うことで、サービスを妨害する攻撃。

# SQLインジェクション
悪意のある第三者が、セキュリティの甘いWebサイトのフォームに、DBが解釈できるコマンドを実施。それにより不正な命令文を「インジェクション（注入）」するサイバー攻撃を、SQLインジェクションと呼ぶ。その結果、データベースの情報が漏えいしたり、改ざん・消去されたりする場合があります。

#ウイルス
ウイルスは、コンピュータに侵入する不正プログラムで、利用者がメールの添付ファイルを開くことやWebサイ

【情報セキュリティマネジメント】第5章「マネジメントについて」

####システム監査
監査とは遵守すべき法令や基準に照らし合わせ、それに則っているか
証拠を収集し利害関係者に伝達すること
監査の業務にはその対象によって、セキュリティの監査コンプライアンスの監査と様々ある
・内部監査
・外部監査
組織内か組織外かからでも監査の方法が異なり
・保証型監査
・助言型監査
適切があることを保証するのか改善提案を行うのかによっても異なる

####目的
総合的に点検、評価、検証することで
安全性、信頼性、戦略性、効率性をさらに高め経営方針や戦略目的の実現に取り組むことができる

####監査人
・独立性
身分上独立している外観上の独立性
公正かつ客観的に監査判断ができるような精神上の独立性も求められる
切実性があると共に、専門能力を持って職務を実施する必要がある

####監査手順
1.監査計画
2.予備検査：十分な監査証拠を入手するための手順、ヒアリングを行う
3.本調査：重要な監査証拠を入手する、現場調査屋資料チェックが主
4.評価結論

####監査報告
監査報告書を作成し依頼主に提出
・指摘事項
・改善勧告
明確に参考資料として添付すること

###

【情報セキュリティマネジメント】第4章「情報セキュリティ関連法規」

#関連法規

####サイバーセキュリティ基本法
内閣にサイバーセキュリティ戦略本部を設置することが定められている

####そもそもサイバーセキュリティとは
サイバーセキュリティ基本法の第2項
「サイバー攻撃に対する防御行為全般」をサイバーセキュリティと記されている

####サイバーセキュリティ戦略本部
内閣サイバーセキュリティセンター(NISC)内に
設置されたサイバーセキュリティ戦略本部は
国のサイバーセキュリティ対策の司令塔である

各業界や団体が協力し専門機関等から得られた対策情報を戦略的かつ迅速に共有するための仕組みとしてサイバーセキュリティ協議会が創設されている

####不正アクセス禁止法
被害がなくても不正アクセスをしただけや、それを助けただけの助長行為も処罰の対象になる、同じく不正目的で利用者のIDやパスワードの情報集めただけでも処罰の対象となる

対策としてアクセス制御機能お餅行って利用者のアクセス制限をすることが推奨されている

####不正アクセス行為
具体的に次のようなことが想定されてい
・なりすまして認証を行う
・認証を行わずにコンピュータ資源にアクセス

Webシステムのセキュリティについてのまとめ②

# 振り返り
情報セキュリティとは3要素あり、どういった要素が満たされていれば情報セキュリティがしっかりしているといえるのかが理解できました。今回は「情報セキュリティリスク」について学習したことをまとめて行きたいと思います。
なぜ、リスクを考えるべきかと言うとこれらのセキュリティが甘いと損害やシステムに影響を起こりうる為、「情報セキュリティリスク」を知る必要性があるため今回学びました。

https://qiita.com/kinoshitaken123/items/f36d28ae80b8f9dede5b

情報セキュリティとは3要素って気になった人は、こちらを参照ください。

#情報セキュリティにおける「リスク」とは

情報セキュリティにおける「リスク」とは、損害や影響を発生させる可能性のこと。


情報セキュリティの構成要素は、不正

Webシステムのセキュリティについてのまとめ①

#はじめに
セキュリティを理解するために学んだことをアウトプットして理解を深めたいと思います。

# 背景
現在の日常においてWebサイトは生活の一部となっている。
一方で、それを逆手にWebシステム上の精密情報を抜き取り、不正な攻撃で狙いを定める攻撃者の犯罪行為は後を絶たない。そのため、Webシステムの運営にあたってセキュリティ対策が必要となっている

#情報セキュリティの３要素

情報セキュリティとは情報の「機密性」「完全性」「可用性」を維持することとされている。
これらの要素を情報セキュリティの３要素と呼んでいる。

また、情報セキュリティの3要素は、以下3つの用語を英語表記したときの頭文字を取って「CIA」と呼ばれています。

* 機密性（confidentiality）
* 完全性（integrity）
* 可用性（availability）

それぞれ深掘りして内容をみてみましょう！

#「機密性」
機密性は、情報を認められた人だけが使用できるような状態であること。
イメージとして、家の鍵は家族だけしか使用できないニュアンスです。
第三者の他の鍵で開いたら困りますね。
!