セキュリティの終わりのない道

【ブックレビュー】フロントエンド開発のためのセキュリティ入門

これまで僕が書評を書いていたセキュリティ関係の本はインフラだったり、組織に対する内容だったりと、アプリケーションの実装に関連する本は少なかったように思えます。しかしシステム開発のメーンストリームであるアプリケーションのセキュリティ対策を知識として知ることは重要ですし、アプリ開発メンバーの連携協調してプロジェクトを進めるためにも、相手が何を言っているのかを理解することは必須のスキルです。僕はかつてはソフトウェアエンジニアとしてシステム開発も携わっていたので、アプリに関する知見も多少はあります。それが今の仕事で有利に働いていることは間違いなく、この辺りは抜かりなく研鑽を続けていきたいと考えています。本書籍はWebセキュリティの必須知識である「CORS」「XSS」「CSRF」などについてフロントエンドにhtml+JavaScript、バックエンドにnode.js+expressを用いて、実際に手を動かしながらブラウザ側とWebサーバ側のセキュリティ対策の実際の方法について学ぶことができます。本書にあるように、セキュリティ対策は自分で組み込むのではなくライブラリの利用が推奨されています。なぜならライブラリは多くのすぐれたエンジニアが安全、堅牢なセキュリティ対策を作り、メンテしてくれているモノなので、個人が実装するより絶対的に安全だからです。しかしライブラリを使う場合も、根幹の部分を知ることは大切です。 XSS対策にサニタイジング、というのはもはや当たり前であり、インフラエンジニアの自分でも当然知っている話でしたが、Webサーバ側でレスポンスヘッダに「「Strict-Transport-Security」や、OORSヘッダ「Access-Control-Allow-Origin」を付与して返すことについては知識を十分に持っておらず、たいへん参考になりました。プリフライトリクエストについては最近仕事の中でアプリケーション開発者と会話で挙がったこともあり、「もっと早くこの本を読んでいれば」という感想でした。 Gemini: 具体的には、以下の条件のいずれかに該当する場合、ブラウザは自動的にプリフライトリクエスト（OPTIONSリクエスト）を送信します。リクエストメソッドがGET、HEAD、POST以外の場合（PUT、DELETE、PATCHなど）。 POSTメソッドであっても、Content-Typeヘッダーがapplication/x-www-form-urlencoded、multipart/form-data、text/plain以外の場合（application/jsonなど）。リクエストにカスタムヘッダーが含まれている場合（X-Custom-Header: valueなど）プリフライトリクエストの流れブラウザ: メインリクエスト（この場合はDELETEリクエスト）を送信する前に、OPTIONSリクエスト（プリフライトリクエスト）を送信します。このOPTIONSリクエストには、以下のヘッダーが含まれます。 Origin:...

2025, Feb 08 —

CPEはどうやってゲットすればよいのか

昨年はCISSPをゲットすることができました、このことはとてもうれしいです。しかしこの資格はゲットがゴールではありません。この後長くセキュリティのスペシャリストであるCISSPを名乗るためには継続的な学習と、その成果をCISSPを管轄するISC2に報告する必要があります。まさにセキュリティの終わりのない道。その方法について調べた結果を皆さんにも共有します。 CISSPの維持にはCPEというポイントを貯める必要があります。AI（Gemini）によると CISSPにおけるCPEとは、Continuing Professional Education（継続的専門教育）の略で、CISSP資格を維持するために必要な継続教育単位のことです。日本語では「継続教育単位」と訳されます。 ISSP資格は、取得後3年間有効ですが、その後も資格を維持するためには、3年間で120CPEクレジットを取得する必要があります。これは、資格取得後も常に最新のセキュリティ知識やスキルを維持することを目的としています。 CPEクレジットは、以下のような活動を通じて取得できます。 (ISC)² が提供するトレーニングコースやセミナーへの参加セキュリティ関連のカンファレンスやイベントへの参加セキュリティ関連の書籍や記事の執筆セキュリティ関連のボランティア活動 (ISC)² が認定するその他の活動...

2025, Jan 26 —

2024年年末の気になるインターネット記事をピックアップ

あけましておめでとうございます。2025年もセキュリティについて、引き続きインプット＆アウトプットを続けてまいります。今年もよろしくお願いします。インシデントコマンダーとは？〜現代のIT運用には必須！その役割と理由〜インシデントレスポンス対応に便利なサービスPagerDutyを提供している企業PagerDutyのブログからです。インシデント対応の勉強会というものがあるのですね。コマンダーとはコマンドー、つまり指揮官（第三次大戦を起こすのが役割ではありませんｗ）です。意思決定作業担当への指示作業要員や関連部署の招集・体制構築ステークホルダーとのコミュニケーション状況の交通整理インシデントの発生と収束の宣言ポストモーテムの作成指示リーダーとしてインシデント対応の全体を統括することが役割ですが、特に重要なのは「意思決定」とのことです。コマンダーとしての意思決定は確定的であり、CEOやCIOの判断よりも優先されるべきものなのです運用経験の長い熟練のエンジニアほど、自分で手を動かしたくなるものです。しかし、インシデントコマンダーが行うべきは解決に導くための意思決定であり、作業ではないのです何故インシデントコマンダーが必要か...

2025, Jan 12 —

【ブックレビュー】自由とセキュリティ

今年最後の記事は、普段と少し経路の違うブックレビューとなります。タイトルは「自由とセキュリティ」。タイトルを見たファーストインプレッションは「自由とセキュリティって対立するものなの？」でした。僕がいつも担当しているセキュリティは所属している企業のセキュリティ。確かにその現場では、個人の自由と組織のセキュリティは相反するかもしれません。セキュリティは個人の勝手なオペレーションを許さず、好き勝手に入れたソフトウェアを許さず、知らぬ間に使っているクラウドサービスを許さない、自由（無秩序）と反する行為です。しかし企業活動と、この本が記す社会での一般的な活動は異なります。例えば、業務のメール内容を閲覧することはプライバシーに違反しているとは言えない、という考えがあります。しかし国家にそれをやられたら拙いと感じるのは明らか。この本ではセキュリティを「生命や生活の安全をもたらす」モノと定義づけられています。セキュリティとは秩序であり、一つにまとまる意思である、と。一方でセキュリティのために個人は自由や権利を制限されても良いのか、秩序という名の牢獄となり、人々のセキュリティを低下させていないのか。先日崩壊したシリアの政権は不当逮捕や民衆への迫害で秩序を維持していましたが、それが人々にとって安心な社会だったとは思えません。僕ら大衆は社会のセキュリティのために自由を制約するべき、と自分たちで考えることもあります。分かりやすい例はコロナ禍での行動制限です。あの行動制限は法律にのっとったものではなく、”お願い”でした。行動制限が法律で設定できた場合それこそ自由の危機ですが、あの当時は僕ら普通の国民が自分の行動を制限し、飲みに行かず、遊びに行かずの生活を送っていました。それこそが社会のセキュリティを維持し、自分達にメリットがあると考えたからです。この本では「権力者がセキュリティを維持することを名目に、個人の自由意思を制限することについて」過去・現代の哲学者がどう考えてきたのかを6人の言説を基に考察しています。先ほど書いたようにこの本で言う「セキュリティ」は「社会的秩序」と置き換えるこのができる用語なので、私たちコンピュータセキュリティ担当者がこの本を読むと、イメージしにくい話かもしれません、しかし歴史が好きな自分は興味深く読みました。筆者に近しい考えを持つイギリスの哲学者であるジョン・スチュアート・ミルの「ソクラテスやキリストは社会では”異端”として殺されたが、それが多数決だから正しい行いだったと言えるのか」という話はなるほどです。ミルは多様性や少数意見は「社会の発展のためにも許容されなければならない。多数派は受容しなければならない」と強く主張します。セキュリティという画一性を非常に恐れていたことが分かります。一方で「リヴァイアサン」を記したホッブスは異なる考えです。権力が王権から議会を行ったり来たりする時代に生きたホッブスは、権力を前にした個人の自由に対する無力さを持っていたと思われます、「脅されて選んだ自由もまた自由」「水は上から下にしか流れない」など、その考えは権力寄りです。リヴァイアサンの画をよく見ると、巨大な支配者の身体は複数の個人で構成されています。自分の権利を譲渡していることを意味します。ホッブスは社会のセキュリティを重視しており、個人の自由を捨て、社会秩序を維持することを是とします。ルソーは「社会契約論」の中で、ミルともホッブスとも異なり”自由も保持する、セキュリティも守る”と主張します。自由という概念が「他者に依存しない」という考えは古代ギリシャの時代からある伝統的な考え方で、貧民が富豪から直接お金を受け取ると、そこには上下関係、従属関係ができますが、間に組織（国家と言い換えてもよい）が挟まれば他者には（表面的には）依存しなくなる、そういう形態をルソーは提唱したように読んでいて思いました。ルソーは人民が自由を主権として持っていると主張する一方で、社会のセキュリティに関しては厳格な面を持ち、必ずしも「ホッブス＝権力側の都合、ルソー＝民の意志を重視」という単純化はできません。 20世紀に活躍した哲学者バーリンの思索は、我々と時代が近いからこそ、現代に私たちが感じている社会の構造的問題を前にして、自由を主張することが簡単でないことが共感できます。今はインターネットにより世界中の社会状況が分かる時代です。それまでの歴史から現状までまったく違う世界各国において矛盾のない統一的な見解を出すことの難しさ。バーリンも「自分の議論は究極的・最終的・唯一の回答のようなものがあるという考え方への批判が根っこにある」と主張していました。一元的な解への信仰こそ殺戮を産むと。これは間違いないですね。「自分が絶対的に正しい」という考え程恐ろしいものはないですからね。カール・シュミットは戦後日本の思想家や現代中国政府にも影響を与えているとされています。ナチスドイツに協力した、あるいは協力せざるをえなかった彼は過去何回か著作物を改定し、過去の主張を無かったことにするなどの行いもしている複雑な人です。彼もまたホッブス同様、自身が生きた当時の状況、ワイマール共和国が自由な国であった故の政治的停滞に対して、セキュリティの強化と第三の道による打開策があるべきだと考えました。それがナチスと親和性があったとことで戦後は批判されます。しかし現代でもどうしても議論による解決がぜんぜん進まない場合、えいやっとちゃぶだい返ししたり、ことを単純化することで強引な解決方法を計ろうという意見は出てきます。この本は過去の哲学家の文献を紹介しますが、けして歴史的事実ではなく、今私たちの周りで起きている議論とも通じる話です。シュミットはホッブスを強く支持していましたが、ホッブス同様、自分の生存を脅かされる状況であり、下手なことを書けば命が危ないという背景があるところで政権に好まれるような論陣を張りました。彼への批判はもっともなのですが、安全な場所にいる我々が好き放題批判するのはずいぶんな話です。...

2024, Dec 22 —

【ブックレビュー】OSINT実践ガイド

毎年恒例、「ITエンジニア本大賞」。このニュースを聞くと、もう1年も終わりかと遠い目になります(–;) https://www.shoeisha.co.jp/campaign/award/ 今年はやはり生成AI、LLMの本が多いですね。僕も実家に新しいPCを買った時に、Google Geminiを親に教えました。僕の親は今はもうリタイアしていますが日本のコンピュータの普及の歴史と一緒にエンジニアの道を歩んだ人、コンピュータについては同じ年齢の人と比べて詳しいと思います。LLMを使い始めて「恐ろしい時代になった」と言っていました。調べもののスピーディーさが段違いだと。僕もそう思います。今回は唯一エントリーされているセキュリティに関連する書籍「OSINT実践ガイド」についてのレビューになります。「OSINT」というと聞いたことがない用語でしたが、「オシント」と読み、Open Source Intelligence の略です。一般に公開されている情報源からアクセス可能なデータを収集、分析し、意思決定に役立てるための諜報活動の一種です。この情報源は攻撃側も同じ情報を持っており、攻撃に利用しようとします。まさに「敵を知る」こともできるでしょう。敵を知れば敵がどのように攻撃してくるかを予測することができ、防御一辺倒だった状況から「この攻撃が我々に対して行われるかもしれない」と、自分達で能動的にセキュリティを強化する「攻めのセキュリティ」を行うことができます。インテリジェンスとは元々軍事用語です。余談ですが、セキュリティの世界では最高のセキュリティが求められる軍事から転用された用語が少なくありません。様々な「データ」を意味のある「情報」としたうえで、その情報を分析し、自分達の意志判断の手助けとなるモノを「インテリジェンス」と言います。情報をインテリジェンスにすることは簡単ではなく、専用のベンダー（インテリジェンスベンダー）もいます。様々なインテリジェンス手法がありますが、OSINTはその中のひとつで、オープンなソースから情報を収集する活動です。かつて第二次世界大戦などでは雑誌や新聞がOSINTの対象でした。現代のデジタルOSINTはGitHub上のソースコードやSNS、Webサイト、脆弱性データベースやPoC（Proof of...

2024, Dec 15 —

ネットにはびこる詐欺とウソ

インターネットは私たちの生活に欠かすことのできないインフラですが、詐欺・ウソ・偽物が溢れかえっています。だまされると個人的な損害はもちろん、サイバー攻撃の被害者となることで個人漏洩にもつながる可能性があります。日経XTECHの特集にネットにはびこる詐欺・ウソ・偽物という特集があり、画像込みで分かりやすく紹介されていました。残念ながら有料記事なので、詳細をここで紹介することはできませんが・・・。特に身近にあるセキュリティリスクについて多数解説されていて、知らないことも多くたいへん勉強になりました。 SNS偽広告詐欺 SNSに偽広告が上がるのは珍しいことではありませんが、今はやり方が凝っていることを知り恐ろしいと思いました。有名人の名前と画像を無断で使った広告からLINEに誘導、親身に接して最初は利益を上げるように見せかけます。そのうち有名人（になりすましたアカウント）が主催するグループトークに参加させられます。他のメンバーが利益を上げているような投稿をしますが、これもサクラがやっているのでしょう。さも本当に実績があるかのように画像や動画をトークルームで利用します。｢SNS偽広告｣メタ社を全国5地裁に提訴、請求総額4億円超外部の取引サイトすら偽サイトとして本物そっくりに作り込んでいるという。これはプロの詐欺師が用意周到、金をかけていること間違いありません。今話題の闇バイトもかかわっているのでは？実際僕の友人も投資詐欺に引っかかったことがあり、百万円単位で騙されたとのことです。本物を知っている人ほど違和感ない手口、「自分は投資には慣れている」と思う人ほど危ないです。騙される方が悪い、とは言いません。オレオレ詐欺もそうですが、騙す側が相当巧妙になっており、自分が被害者になっても不思議ではありません。SNS側ができることにも限界があるので、なんとかできないものか・・・。悪いのは騙す人間ですからね。そういえば昔、twitterでもお金を配るアカウントがありましたよね。たとえ有名人が善意でやっているとしても関わるのは危険です。仮にお金が口座に実際に振り込まれたとしても、そのお金は闇の人間が洗浄しようとしている汚いお金の可能性があります。振り込め詐欺の入金先として自分の口座が使われると、意図せずに「受け子」になり犯罪者になるケースもあります。「投資」や「お金を配る」などの話しには近づかない・クリックしない。知らない間に「振り込め詐欺の受け子」になって逮捕されてしまった…SNSに潜むワナ、どうやって防ぐ？ QRコード詐欺これは最近現れた詐欺です。「クイッシング」（QR＋フィッシング）と用語も作られるほど普及しています。街中で「新製品のPRしています、QRコードからアクセスしてください！」などとコマーシャル活動を行っているのを見かけたりします。これにも危険が潜んでいます。そのQRコード、真っ当なサイトのURLだとはぱっと見分かりませんよね。本記事では「メールやSNSなどで届くQRコードは100%悪意のあるものと疑ったほうがいい」と断言しています。...

2024, Dec 08 —

CISSPに合格しました！

もともとこのブログを書き始めたきっかけは、2022年にCISSPの試験を受けたものの不合格だった時の自分の感想を書き留めておきたかったからです。 CISSP受験の感想上記の記事内で、当時自分はこう書きました。ネット上の合格記には記載されていないこの点をまだ受験したことのない人に知ってほしいです。 CISSPの試験では上記の試験対策本やUdemyで身につけられる知識問題はほとんど出ません。企業でセキュリティを担当するものとして、もっと実戦的なことが問われます。「問われる」質問の大半は最善な対応はどれかというもの。答えが１つに明快に求められる知識問題ではなく、背景や事情が異なるシチュエーションから、セキュリティの標準に準じたうえで最適な選択肢を選ぶ必要があります。４択から２択くらいには絞れるのですが、ここからは「どっちでも問題ないのでは・・・？」となります。 CISSPはセキュリティの十分な知識と経験があることを保証するための資格、そのため合格後も企業で最低５年間のセキュリティ業務に従事した実績がないと正式に名乗れません、なのである意味ではこの試験内容は理にかなっていると言えます。試験対策では合格できない、実戦経験を積むべしというのが私の伝えたいこととなります。＜略＞今回試験に不合格となったことは財布的にも時間的にもとても悲しいのですが、CISSPに合格するにはセキュリティの業務を一つずつ着実に実践でこなしていくのが王道だと認識できたことが収穫です。そのため、このブログを立ち上げてセキュリティに対する学びや情報をアウトプットしようと思い立ちました。毎日のように我々のセキュリティを脅かす事例がアナウンスされ、またセキュリティを守るためのサービスもリリースされます。サイバーセキュリティがこれほど重視された時代はありませんし、今後軽視されることもないでしょう。ブログのタイトル通り、セキュリティの道に終わりはありません。セキュリティエンジニアと胸をはって名乗れるよう、今後もセキュリティの道を歩み続けたいです。上記の約束のとおり、2023年以降もブログ記事を公開して、セキュリティのアウトプットを継続しました。仕事でもセキュリティ担当として、社内のセキュリティの強化に加え、新規サービス開発プロジェクトでは、これでもかというセキュリティの要望に逃げずに（それは言い過ぎかもですがｗ）立ち向かいました。「ギガンデスとキラーマシーンと戦っているみたいだ」と何度も仕事中に言ったセキュリティ要求の高さでしたが、その分経験値は溜まりました。プロジェクトがひと段落した2024年春、改めてCISSPの試験勉強を始めました。...

2024, Nov 16 —

【ブックレビュー】先読み！サイバーセキュリティ生成AI時代の新たなビジネスリスク

本の表紙に『濃い内容がサクッと読める』と書いてある通り、今インターネットで流行っている、左右に顔アイコンが載っていて、会話形式で話が軽妙に進む本です。これもタイトルに偽りなしですが、生成AIを利用した脅威が高まっていることが話の中心になります。生成AIにより攻撃者が様々な武器を持つようにエピソードは、先日のITmedia Securityでも紹介されていた逆アセンブルやプロンプトインジェクションのことを指すのですが、これを分かりやすく説明しています。セキュリティの従業員に説明するには、こういう本のほうがとっつきやすいでしょうね。そしてサイバーセキュリティの今を関心を引く事件やサイトを使って紹介してくれるのも特徴で、自分も知らない話もありました。 CFO（最高財務責任者）になりすまして2500万米ドルを送金させたディープフェイク技術画像は信用ならない、映像なら信用できる、なんて数年前言われていたのに、今やここまでできてしまうとは。社内の複数のスタッフがオンライン会議に顔つきで参加していたけど、全員ディープフェイクだったらしい。恐ろしいというか、信じがたい。ここまで進化しているとは。 Which Face is Real https://www.whichfaceisreal.com/ こちらは、どちらが本物の顔で、どちらがフェイクかを二者択一で選択するサイト。自分は割と正解率高い印象ですが、それはしっかり凝視しているからかも。焦っている時にパッと見ただけでは間違えてしまうかも。クラウドストライク、セキュリティとITを一元化し、生成AIの能力を強化生成AIが過去の脅威を学習し、（これをどのように実現しているのかは分かりませんが）社内の端末のうち脆弱性がある端末を見つけ出して報告してくれるそうです。サイバーセキュリティと生成AIの関係性を考えた場合、その役割はAIが人間の「目」の代わりとなり、これまで時間をかけて人間がチェックしていた項目を速やかに対応できるようになったということなのか。生成AIは攻撃側にとって有用なだけではなく、防御側にとっても頼れる相棒です。...

2024, Nov 10 —