セキュリティコンサルタントの日誌から

セキュリティに関するエッセイなど

エッセイ

「リスク分析・管理」再考(その3)

前回(その2)は、リスク分析について深くご紹介しました。 www.scientia-security.org 大きく、6種類のステップでやることをご紹介します。 Step 1 : 資産の特定 Step 2 : 脅威の特定 Step 3 : 脆弱性の特定 Step 4 : 残存リスクの特定 Step 5 : 発生確率…

「リスク分析・管理」再考(その2)

前回は、リスクの定義、リスクマネジメントプロセスについて紹介しました。 www.scientia-security.org 前回のポイントは、リスクの定義です。改めて復習しておきましょう。 リスク = 発生確率 × 影響度 = 脅威 × 脆弱性 × 資産 今回は、リスクマネジメント…

CIS Controlsと自己評価ツールCIS CSAT

CIS Controlsとは、CIS(Center for Internet Security)が管理しているサイバーセキュリティのフレームワークで、CSC(Critical Security Control)とも呼ばれます。 通常、セキュリティを担当するように言われた際、自分だけで考えていくと多くの考慮漏れ…

「リスク分析・管理」再考(その1)

セキュリティの世界にいると、「リスク分析」や「リスクベースアプローチ」という単語を非常によく耳にします。「リスク」という概念は、セキュリティに限らず様々な局面において登場しますが、意外とその定義は難しく、明確なイメージを持っている人は少な…

Internet Week 2019で講演してきました!!

先日開催された、Intenet Week 2019の「D2-3 組織を更に強くする「攻めの」サイバー攻撃対策」のセッションで機会をいただき、講演をしてきました。 スライドは以下で公開されていますので、よろしければご参照ください。(Internet Week 2019) www.slidesh…

『The Sliding Scale of Cyber Security』を再考する

『The Sliding Scale of Cyber Security』とは、Robert M. Leeにより提唱された概念で、サイバーセキュリティ態勢の成熟度を表すモデルです。このモデルによると、サイバーセキュリティの成熟度を脅威対応の観点からみて、5段階(Architecture・Passive Def…

Anti-Intelligence技術について考えてみる

(変更履歴)ある目的で執筆していたのですが、諸般の事情で執筆を中断したので、ブログに投稿しました。 攻撃者(Adversary)や脅威を理解する上でインテリジェンス技術の幅は様々であり、OSINTやAttributionなどの技術的分析手法や、ダイアモンドモデルな…

Threat Huntingとは何か?(2019年度版)

(変更履歴)過去のThreat Huntingに関する記事をいろいろ改善しながら執筆していたのですが、諸般の事情で執筆を中断したので、ブログに投稿しました。 Threat Huntingとは、セキュリティベンダーがシグニチャを提供するまでのゼロデイ期間において攻撃が行…

Cyber Deception技術とTime Based Security

Cyber Deceptionとは、組織のネットワークに対してDecoy(おとり)を仕掛けることにより、攻撃者のリソースを無駄遣いさせ、重要データに到達するまでの時間を稼ぎ、そして本来絶対にアクセスが発生しない端末・パラメータへのアクセスが発生した場合攻撃を…

経営層のための脅威インテリジェンス(Strategic Intelligence)

以前紹介したSANSの"Cyber Threat Intelligence Consumption"では、Strategic Intelligenceとは、経営層に向けたインテリジェンスとされています。経営層(Senior Management)に対する脅威インテリジェンスについて考えてみたいと思います。 なぜ経営層にイ…

「脅威」について考えてみる

2020/03/21に追記しました。 「サイバー脅威インテリジェンス」、あるいは「脅威ベースのペネトレーションテスト」など、セキュリティの世界では脅威(Threat)という概念が多数出てきます。しかし、脅威(Threat)について具体的な説明があまり知られていな…

Cyber Threat Attributionとは何か?(2019年度版)

(変更履歴)Political Attributionについて付け加えました。 Cyber Threat Attributionとは、攻撃主体の帰属を特定する技術です。 攻撃者も人間である以上、アイデンティティ(攻撃の目的)、動機、攻撃手口などを持っているはずです。それらを洗い出すこと…

『2019 OSINT Guide』を翻訳してみた +α

OSINT(Open Source Intelligence)は、公開情報から様々な情報を集める技術です。 最近では、@Sh1ttyKids氏がOSINT技術を活用して日本のアンダーグランドコミュニティの情報をまとめています。 www.recordedfuture.com 年始にかけて、すこしOSINT技術を調査…

CISOの役割とは?(2019年度版)

以前の記事でCISOの役割という記事を書きました。 しかし、最近いくつかドキュメントを読み少し更新できること、また以前紹介したCISO Mind Mapの日本語を作成したのでそれを紹介したいと思います。 www.scientia-security.org CISOに関するフレームワーク …

リスク分析の3つのアプローチとセキュリティの7S

(追記)2019年02月12日に追記を行いました。 リスク分析は、セキュリティ戦略策定の上で欠かせない基本的なアプローチです。 以前、日経SYSTEMSの記事「セキュリティコスト 5つの掟」(2018年10月号)にて、 一部のインタビュー記事が紹介されましたが、そ…

『インテリジェンス駆動型インシデントレスポンス』が発売されました!!+α

あけましておめでとうございます。 ご縁があり、翻訳させていただいた『インテリジェンス駆動型インシデントレスポンス』が12/26(水)に発売されました。ぜひ書店やAmazonでお買い求めください。(公開するの忘れてた...) www.oreilly.co.jp この本のセー…

Internet Week 2018で講演してきました!!

先日開催された、Intenet Week 2018の「D2-3 知れば組織が強くなる!ペネトレーションテストで分かったセキュリティ対策の抜け穴」のセッションで機会をいただき、講演をしてきました。 スライドは以下で公開しましたので、よろしければご参照ください。 Int…

ドメイン保護手法に関する整理

ドメインは、企業ブランドを守る上で非常に重要な情報資産です。有名な企業のドメインを乗っ取ることができればフィッシング攻撃などへの悪用は非常にやりやすくなります。 今回は、ドメイン保護手法について、予防・検知・対応の観点から整理をしていきまし…

TLPT・TIBERに関する動向まとめ

金融庁より、TLPT(Therat-Lead Penetration Test)というキーワードが登場してきています。また、TIBER(Threat Intelligence Based Ethical Red Teaming)という概念が欧州系金融系を中心に話題になっています。 今回は、その動向と読むべき資料について整…

色で表すセキュリティ人材

色を使ってセキュリティチームの性質を説明することがよくあります。 例えば、攻撃技術(Offensive Technology)を専門とするチームをRed Teamと呼び、一方、セキュリティ監視やインシデント対応を行うセキュリティ運用チーム(Security Operation)のことを…

#ssmjp 04に参加してきました!!

#ssmjp 4月に参加してきました。 ブログ枠で参加したのでアップデートしました。(勘違いして、アップロードできていなかったので、アップロードしました。ご迷惑をおかけしました。) 講演1:私の情報収集法 最初のスピーカーは「タイムライン・インテリ…

Offensive Countermeasuresとは何か?

Offensive Countermeasures(OCM)とは、2009年にSANSインストラクターであるJohn Strand氏らが提唱した概念です。当時はあまり流行した考え方ではなかったと思いますが、Threat IntelligenceやThreat Huntingへの注目と合わせて、再度注目を集めている概念…

各規制はセキュリティ診断の頻度をどのように定めているか?

2018/01/09 金融庁関連の話題を追加しました。 少し前ですが、2017年8月にJPCERT/CCが「Web サイトへのサイバー攻撃に備えて」という報告を発表して、セキュリティ診断・ペネトレーションテストの頻度について言及をしています。今回は、各レギュレーシ…

脅威の検知レイヤーモデル

(修正履歴)一部追記しました。@ 2019.02.10 現在、Cyber Threat IntelligenceやThreat Intelligenceに興味を持っていますが、脅威を検知手法について整理してみました。 時間軸による検知レイヤーモデル 色々な考え方があるますが、検知のインプットは大き…

Threat Hunting for Dummiesを読んでみた!!

カンファレンスでもらった"Threat Hunting for Dummies"を積読していたのですが、時間ができたので読んで見たのでメモをまとめます。EDRで有名なCarbon Black社が書いているので、クオリティも十分でした。 www.carbonblack.com Threat Huntingの定義と目的 …

CISSPの勉強方法

CISSP(Certified Information Systems Security Professional)という試験は、セキュリティの経験と全般的な知識を持っていることを示す資格です。一般的かつセキュリティと重要な資格である一方、独学用の勉強リソースはあまり多くないと言わざるを得ませ…

思考実験:クラウドソーシングはツールの欠点を補えるか?

久しぶりに記事を更新したいと思います。本日は、Webアプリケーションについての思考実験をしてみたいと思います。 既にご存知の通り、Webアプリケーション診断の脆弱性スキャナとして、様々な製品が登場しています。 IBM AppScan HP WebInspect Rapid7 AppS…

ssmjpのプレゼンテーションを公開しました。

ssmjpにて、Red Teamに関するプレゼンテーションをさせていただきました。資料を公開しました。(公開を忘れていました。すいません) www.slideshare.net

サイバーリスク保険に関する考察

以前某論文誌にサイバーリスク保険について書いたことがあるのですが、最近またサイバーリスク保険について説明する機会があったので、ブログにまとめておこうと思います。 論文執筆時の情報を元にしているため、古い記載がある可能性があります。ご容赦くだ…

米国文化とセキュリティ - なぜ自動化が積極的に採用されるのか?

昔からセキュリティ製品評価をしていると、自動遮断・自動連携など自動化のうたい文句にしていることが非常によくあります。最近は米国のカンファレンスに頻繁に参加していますが、多くの製品のキーワードとして「自動化」は目玉機能として紹介されます。 し…