NIST SP800-171とは、米国立標準技術研究所（National Institute of Standards and Technology。以下、NIST）が発行するセキュリティガイドラインの一つである。 これはCUI(Controlled Unclassified Information：以下、CUI)[i]と呼ばれる「保護対象となる非秘密情報」を扱う情報システムに対するセキュリティ管理策（以下、管理策）をまとめたガイドラインであり、主に防衛関連案件の調達要件としてその準拠が要求されていることから、北米や日本などの防衛産業を中心に利用されている。 NIST SP800-171は、2016年5月に初版が発行され、2020年2月にRev2に更新、そして2024年5月14日にRev3が発行された。[ii]Rev3では管理策が追加され、既存の管理策に対しては表現の変更や管理策の統廃合な

タイトルを見て，実務未経験で１週間で受験しようとしている方へ 結論から言うと，実務未経験かつ1週間という条件下では、合格安定圏内まで持っていくのはかなり厳しいと思います． 筆者自身，IT初学者よりは知識がある方だと思いますが（後述），記憶を消して同程度の対策でもう一度受験したとして，合格可能性は30%ほどです． しかし，このまま受験費用をIPAに寄付するだけではもったいなくないですか？ せっかくなら受験して，あわよくば合格しちゃったりしてみたくないですか？ この記事では，この短期間で少しでも合格可能性を上げる，「効率的な足掻き方」の一例をお伝えします． なお，勉強法には個人差があり，ここに書いてある勉強法をすべて模倣することが必ずしも最適とは限りません．自分の今までのノウハウを改造する上で，少しでも参考になったら嬉しいです． はじめに 2025年4月20日に行われた情報処理安全確保支援士試

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 概要 セスぺ(現:情報処理安全確保支援士試験)を取る為の最安最短コースは何となくこうだろうというのが 自分の中ではあるのだけど、誰も周りにそれを言ってる人がいないので書き残しておこうかと。 合格報奨金などで良いお小遣いになる会社もまだまだ多いと思うので、役に立てば幸いです。 受かるためにやる事 身も蓋もないが、ざっくり言うと３点しかやる事はないです。 午前1、午前2対策 JIS Q 27000と27002を流す 情報処理安全確保支援士の対策書籍で論点を拾う ※本に関しては合う合わないはあるので、立ち読みして合いそうなのを選びましょう。

※ 本教材は以下の利用条件のもと、当会会員、非会員を問わず、ご自由にお使い頂けます。 本資料は利用者の参考用に公開するものであり、商用利用はできません。 本資料には発表者が後日商用として書籍化する内容を多数含みます。このため本資料を再配布する際の改変等は禁止します。 本資料の利用は自己責任でお願いします。利用者が本資料によって受けた金銭その他の損害の責任を、発表者ならびに当会は一切負いません。

Intro いつも本ブログを読んで頂いている皆様、そしてセキュリティ関係者の皆様へ。 この度は、筆者による "Eve" に対する不適切な引用、および、原稿内における不名誉な扱いについて、この場を借りて謝罪させていただきます。 Alice と Bob ネットワークやセキュリティ系の解説の中で、プロトコルの送受信を二人の対話構成になぞらえる場合、一方を Alice、もう一方を Bob とする通例があります。 その構成は、業界では長くこの通例が使われており、私的な文書から現場実務まで、あらゆる文書で Alice と Bob は対話を重ねて参りました。 この二人の会話の間で、ひっそりと盗み聞きしている存在が「Eve」です。 C (Charlie), D (Dave) を飛ばしていきなり Eve が登場するのは、盗聴を意味する Eavesdropper に由来していることと、Charlie と Da

この技術の実態を明らかにするため、研究者たちはSamsungとLGという2大スマートTVブランドを対象に、英国と米国の2カ国で詳細な実験を行った。 具体的には、6つの主要なシナリオを設定した。まず「アイドル」状態、つまりTVの電源は入っているがホーム画面のままの状態。次に「リニア」視聴、これは従来の地上波放送を見る状況。 「FAST」は、TVメーカーが提供する無料広告支援型ストリーミングサービスの視聴を指す。「OTT」は、NetflixやYouTubeなどの外部ストリーミングサービスの使用。「HDMI」は、ゲーム機やPCなどの外部機器をHDMI接続して使用する状況。そして「スクリーンキャスト」は、スマートフォンなどの画面をTVにミラーリングする使用法である。 さらに、各シナリオで4つの異なる設定を試した。ユーザーアカウントにログインしている状態とログアウトしている状態、そしてACRを含む広

デジタルペンテスト部の北原です。 今回は、Windowsでのツール開発者にとっては重要なハンドルの内部について解説します。 Windowsでは、ファイルやプロセスから始まりすべてのリソースはオブジェクトとして扱われ、ファイルの削除やメモリの確保にはハンドルを取得する必要があります。 ツールやアプリケーションの開発者にとっては、日常的にハンドルを操作する機会がありますが、通常の利用者にとってはあまり意識するものではありません。 本記事では、Windows OSでのハンドルの役割と、OS内部でどの様に管理されているのかについて解説します。 記事の構成は以下の通りです。 ハンドルの役割とアクセス権限 ハンドルへの情報の問い合わせと操作 カーネル空間でのハンドル管理 応用例1 - オブジェクトをロックしているプロセスの特定 応用例2 - カーネルモードルートキット 本記事は以下の読者層を想定してい

A new tool that blends your everyday work apps into one. It's the all-in-one workspace for you and your team

Zabbixは2024年8月9日（現地時間）、監視ソリューション「Zabbix」に深刻な脆弱（ぜいじゃく）性があると伝えた。この脆弱性が悪用された場合、リモートコード実行の攻撃を受け、システム全体が危険にさらされる可能性がある。 Zabbixはネットワークやサーバ、仮想マシン、クラウドサービスなどのITインフラ全体をリアルタイムで監視し、パフォーマンスデータを収集・分析するオープンソースの監視ソフトウェアだ。シンプルなアプリケーションから大規模なインフラまで、さまざまなITリソースを監視するために利用されている。 ZabbixにCVSS 9.9の脆弱性　急ぎアップデートを 今回報告された脆弱性は「CVE-2024-22116」として特定されている。共通脆弱性評価システム（CVSS）v3.1のスコア値は9.9で深刻度「緊急」（Critical）に分類されている。 影響を受けるバージョンでは制

背景 本家のruncで実装されているSELinux機能が、Youki (Rustでruncを再実装するOSS）に実装されていないことがわかった。 そこで、SELinux機能をYoukiに導入することになったのだが、SELinux crateが無かったのでRustで再実装することになり、そのプロジェクトにアサインしてもらった。 しかし、SELinuxについて何も知らなかったので、SELiuxについて色々と調べたことをまとめた。 SELinuxとは何か？ security-enhanced Linuxの略称。MAC制御を行うことができる。通常のセキュリティに加えてSELinuxを設定することで、システムセキュリティを更に強化できる。 Labelとpolicyを組み合わせたセキュリティ制御が特徴である。process・file・networkなどのobject、process・userなどのsu

CrowdStrike社のセキュリティソフトに起因するWindowsのシステム障害（BSOD）について 7月19日に発生しましたWindowsを搭載したパソコンでの全世界的なシステム障害につきまして、CrowdStrike社（以下CS社）のセキュリティソフトFalcon Sensorのアップデートに起因する障害であると、同社から連絡を受けております。マクニカでは、CS社の国内販売代理店として、本障害に関する情報を入手し次第、弊社ホームページ上にてご報告してまいります。 すでに、CS社からは、問題の原因は突き止め、復旧とお客様へのサポートに全力を尽くしていると報告を受けています。弊社でも、現在、ご契約のお客様の業務が復旧するよう全力でサポートに当たっております。お客様、販売パートナー様におかれましては、下記を参考の上、ご不明な点等ございましたら、弊社問い合わせ先までご連絡いただけますよう、ご

徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ 徳丸が書いていないことを質問いただくことが時々ありますが、私が書いてないのは書きたくない理由があるから（単にめんどうくさいも含む）です。ですが、せっかく質問いただいたので、思うところを書いてみようと思います。 まず、私自身は広告ブロッカーを使っていないです。その理由は、広告ブロッカーには危険なものがある（原理的にあり得るし、過去にあった）からです。過去には、広告ブロッカーが元の開発者から売却され、マルウェア化した例が複数あります。具体例は示しませんが、検索するとすぐに見つけられると思います。 広告ブロッカーがマルウェア化すると、これらはブラウザアドオンの形で動くため、非常に強い権限があり、すべてのサイトの情

この記事には、Azure を使用してクラウド ソリューションを設計、デプロイ、管理するときに使用するセキュリティのベスト プラクティスが含まれています。 これらのベスト プラクティスは、Azure のセキュリティに関する Microsoft の経験と、お客様のようなお客様のエクスペリエンスから得られます。 ベスト プラクティス これらのベスト プラクティスは、IT 担当者向けのリソースであることを目的としています。 IT 担当者には、セキュリティで保護された Azure ソリューションを構築してデプロイするデザイナー、アーキテクト、開発者、テスト担当者が含まれます。 シークレットを保護するためのベスト プラクティス Azure データベースのセキュリティに関するベスト プラクティス Azure データのセキュリティと暗号化のベスト プラクティス Azure ID 管理とアクセス制御のセキュ

定期的に更新・追加していきます。 セキュリティガイドライン、フレームワーク集 サイバーセキュリティガイドラインやフレームワーク等を参照することは、自組織でのセキュリティステータスを把握し、実際にセキュリティ施策を打つうえで非常に重要となります。 ただ、これらの文書の要件を満たすような施策を実施するためには、 1. 自組織が適用（組織・技術的に対策）したい各種ガイドラインやフレームワーク等を選定する 2. これら文書における抽象的な要件を具体的な要件へ落とし込む 3. 具体的な要件を満たすために最適なセキュリティ策を実施する のような流れを踏む必要があります。 2、3についてはセキュリティ策や技術動向に精通したセキュリティ専門家による対応が求められますが、1については自組織が目指す目的に依存するため専門家の手を借りずともある程度は対応することができます。 また、業界や技術等の軸で存在感のある

これは Tech Do Advent Calendar 2018 の21日目の記事です。 はじめに 先日、サポーターズ勉強会で「これだけは絶対覚えたいセキュリティ基礎講座」という内容で約80分話してきました。 この記事は、そこで 話した内容 をもとに、セキュリティの基礎について改めてまとめます。 セキュリティに関する技術的な記事はたくさんありますが、初めて セキュリティの考え方 に触れる記事は少ないため、これからエンジニアになられる方を対象に心構えをお伝えできればと思います。 セキュリティの基礎を知る セキュリティリスク セキュリティリスクとは セキュリティにおける リスク とは、未だ被害が発生していない潜在的なものを指します。 これに対して、実際にセキュリティ事故が具現化した状態を インシデント と呼びます。 リスクの大きさ リスクの大きさは以下の式で表すことができます。

開発 × 生成AI × コミュニケーション：GENDAの開発現場で感じたコミュニケーションの変化 / GENDA Tech Talk #1

隠れ端末問題 背景 CSMA/CA(Carrier Sense Multiple Access with Collision Avoidance)：無線LANのアクセス制御、送信前に電波の電波の空き状況を確認して、空いているときに送信データを送ることで衝突を避ける 問題 障害物によってお互いの通信が検出できず、同時に送信フレームをアクセスポイントに送り衝突が発生すること 隠れ端末問題の解決策 RTS/CTS Request To Send/Clear To Send） 常時利用すると効率が悪いため、何度か失敗したときにRTS/CTSによる通信制御が開始される RTS：「これから送ります」という合図 CTS：「他の端末が利用中です」または「送っていいですよ」という合図 参考：https://milestone-of-se.nesuke.com/nw-basic/wireless/csma-c