2023年3月に経済産業省とIPA（独立行政法人情報処理推進機構）が公開した「ECサイト構築・運用セキュリティガイドライン」。 読みました？ ブログ担当の私もちゃじ、今更ですがヒーヒー言いながら読みました。 このガイドライン、ECサイトを構...
セキュリティ診断をしてみたら、脆弱性が出た！ まずい。報告書に「Burp Suiteを使ったら再現できる」って書いてあるけど、なんのことやら分からないんだが......。 このように、セキュリティ診断をしてみたものの、脆弱性？ ...
警察庁によると、2022年におこったサイバー攻撃と見られる不審なアクセスは、国内の暫定値で、1日に7707件にも上ったそうです。最近では、JAXA（宇宙航空研究開発機構）もサイバー攻撃を受けていたとか。 おそろしい......サイバー攻撃の...
政府機関や大手企業のWebサイトがサイバー攻撃を受けたニュースを見聞きするにつけ、「英知が集まって作られているであろう政府機関や大企業のサイトでも攻撃されちゃうの？」とおののくブログ担当のもちゃじです。 世の中に存在しているWebサイトは大...
セキュリティ診断員って、かっこよくないですか？ 情報セキュリティのガーディアンたるセキュリティエンジニア。その中でも、スペシャリストであるセキュリティ診断員。Webセキュリティの世界を知るにつれ、かっこいいなぁと憧れが募っているブログ担当の...
Webセキュリティ診断というと、ツールによる診断なのか、手作業による診断なのか、その手法や内容がフィーチャーされがち。いやでも、診断したからには、診断の結果が書いてある「報告書」をどう見るか。そこが大事なんじゃなかろうか。 世の中あまりにも...
セキュリティ診断の手法の一つである「手作業による診断」は、サイト特性を見ないと検査できない箇所を、人の手により診断していきます。この方法によって、自動で診断を行う「ツール診断」では見つけられない脆弱性を見つけることができるんです。 では、具...
セキュリティ診断の方法は、主に「ツールによる診断」、「手作業による診断」、ツールと手作業を合わせた「ハイブリッド診断」の3つがあります。ブログ担当の私もちゃじは、この3つの手法の違いが文字通りの意味でしか理解できていません。 「ツールによる...
Webセキュリティを担う診断員の必須ツールともいえる「ローカルプロキシツール」。なぜ必須なのか、実はあまりピンときていないブログ担当もちゃじです。 この記事では、「ローカルプロキシツール」ってどんなことができて、実際に診断員はどんな機能を使...
セキュリティ診断の目的は、ざっくりいってしまえば「脆弱性をゼロに近づけて、セキュリティインシデントを防ぐために、脆弱性の有無を調べること」。サーバーやシステムに穴（脆弱性）があったら、「悪い人」によってデータの改ざんや搾取などの攻撃につなが...