書記の読書記録#3「サイバーセキュリティ入門」

羽室 英太郎「サイバーセキュリティ入門:図解×Q&A」についてのまとめ。

サイバーセキュリティ入門:図解×Q&A

レビュー

図解，Q&A，と書いてはあるものの，あまりピンとくる使い方ではなかったように思う。また，入門というには物量が多く，少なくとも2冊目以降に使う方が適している。それらの点を除けば，サイバーセキュリティについてのテキストとしては，網羅性に優れた良書。ITパスポートでここまでやる必要もないが，それ以上を目指すなら読んで損はないと思う。

セキュリティのテキストで有名なのは，いわゆる「徳丸本」か。

体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践

読書記録まとめ（8/25〜9/1）

＃ 1 p2〜49
・サイバー犯罪の分類：不正アクセス行為，コンピュータ犯罪，ネットワーク利用犯罪・サイバーセキュリティ・リスク，脅威，脆弱性・インシデント防火防災リスクなどに対する障害発生対策・情報のライフサイクル・フィッシング詐欺やワンクリック詐欺・SNS普及につれ増加する誹謗中傷や炎上・スマホの盗難紛失に注意・公共無線LANでのフィッシング・ソーシャルエンジニアリング：人をターゲットとする攻撃

＃ 2 p50〜118
・パスワードへの攻撃：パスワードリスト攻撃，Pass The Hash攻撃・OSへの攻撃：バッファオーバーフロー攻撃・アプリ：UAF・OpenSSLの脆弱性・ドライブバイダウンロード攻撃・スマート家電のセキュリティ対策・SCRM・マルウェア：悪意のあるソフトウェアの総称・マルウェアの種類：ウイルス，トロイの木馬，スパイウェア，ボット，ワームなど・ワンクリックウェア・バンキングトロイ：Zeus・ランサムウェア：CyrptoLocker，WannaCry，Bad Rabbit・ウイルスは不正指令電磁的記録・スクリプトウイルス・ウイルス検出手段：パターンマッチング方式，ヒューリスティック方式，ジェネリック方式・ゼロデイ攻撃

＃ 3 p107〜153
・標的型攻撃，水飲み場型攻撃・なりすまし：フィッシング，ファーミング，QRishing，メールスプーフィング，IPスプーフィング・異常なアクセス集中による妨害がDoS攻撃，F5リロード攻撃やDNSリフレクター攻撃など・検索エンジン（クローラ）・SEO対策により検索結果の上位に広告が表示・Cookieの悪用：トラッキングクッキーなど・SSP：Webページの広告枠から最大限の収益を図るためのプラットフォーム・フィンガープリンティング・DNSへの攻撃：DNS水責め攻撃，DNSトンネリング

＃ 4 p156〜209
・リスクアセスメント（リスクの特定，分析，評価）・リスク管理の指標：KRIなど・ISMSの基本要素CIA：機密性，完全性，可用性・ISMS適合性評価制度・個人情報の保護：GDPR（EU一般データ保護規則）・セキュリティポリシーの策定・リスク管理の責任者：CRO，CISOなど・物理的対策：ゾーニング，セグメント，電源の保護，バックアップ・ファイアウォールのみならず多層防御が必要・PDCAサイクルとOODAループ・セキュリティアプライアンスの例：IDS，IPS，WAF，UTM・本人認証の要素：知識，所有物，生体情報・認証システム：Radius，ケルベロスなど・FIDO：パスワードレスのオンライン認証

＃ 5 p210〜268
・セキュリティパッチ：WSUSサーバ，WUB・ペネトレーションテスト：システムの擬似攻撃による・バックアップの方式：RAID，クラスタリング・仮想化：シンクライアント，VPNなど・クラウドサービスによる効率化・通信路の暗号化：共通鍵，公開鍵・SSL証明書によるサーバの身元保証・S/MIME：電子メールを暗号化してデジタル署名するための規格・なりすましメールの対策：PKIやS/MIME，PGPなど・セッションハイジャックの例：クロスサイトスクリプティング，CSRF・SQLインジェクション

＃ 6 p270〜311
・EDR（エンドポイントセキュリティのソリューション）・サンドボックス・検疫ネットワークによるマルウェア拡散の防止・インシデントのトリアージ・デジタルフォレンジックの活用・ネットワークトラフィック監視：SPAN接続，TAP・常に最新の状態にアップデートする・USBメモリの取り扱い・WPA3の登場・オフィス複合機のセキュリティ対策・リベンジポルノや児童ポルノに関する法規

＃ 7 p312〜362
・スマホのセキュリティ対策・ワンクリック詐欺（環境変数の使用）・スマホの業務利用：BYOD・フィルタリングサービス・ネット選挙・スマホでのP2P・迷惑メール・オプトイン：承諾されたものにのみ広告を送る・カード決済・仮想通貨とブロックチェーン・特殊詐欺：オレオレ詐欺，還付金等詐欺など・シニア層や子供に対する対策

＃ 8（最終回）p364〜420
・匿名サービス：Tor，ダークWeb・個人情報保護の拡大・ビッグデータ，Iot製品のセキュリティ・CSMS：IACSをサイバー攻撃から防御するためのシステム・情報セキュリティマネジメントの規格：ISO/IEC27000シリーズ・ISMS国際規格・Pマーク，TRUSTeマーク・ITガバナンス：内部統制，IT統制・プロジェクトマネジメント：PMBOK・ソフトウェア開発のセキュリティ

これまでの読書記録はこちら：

読書記録｜鈴華書記｜note