中島明日香のレビュー一覧
-
-
-
-
Posted by ブクログ
It’s been a while since I came across a topic that was completely beyond my grasp, and it got me excited. I’m looking forward to working in a field that 99% of people don’t understand. By the way, half of this book is technical, so I’ll need to go back and read it again.
-
Posted by ブクログ
ネタバレ著者のユーモアが本書の所々に現れており楽しく読めた。なぜセキュリティが重要なのかということを把握したり、過去に起きた問題や、歴史について学んだりできる良書です。今後の技術発展と一緒に必ず並走するのがセキュリティなので本書を読んでおくのはいいと思う。
BOFあたりから技術的要素が強まってくるので、難しい点は飛ばし飛ばしでもイメージは持てるかなと思う。BOFやXSSはよく解説された本はあるが、printf脆弱性については勉強になった。
各章の基礎解説は、ハッキングの仕組みを説明するうえでは重要かと思いますがセキュリティの根幹ではないのでもう少しざっくりとでもいいかなと、思う(初心者には説明が難しい -
-
Posted by ブクログ
サイバー攻撃の入門書。サイバーとは広義にコンピュータ関連のこと。
著者はセキュリティ分野に長く従事しているプロであり、わかりやすく解説されてるので、IT知識がなくても読める。ただ、知識があるだけ、業務や仕事で携わっているだけなお面白い。
本書は具体例に富んでいる。過去の事例をベースに、バッファオーバーフローやクロスサイトスクリプトなどを実際のコードとともに紹介しているので理解しやすくどういった経路・仕組みで発生させているかがわかる。
本書の意図としては、セキュリティに関して気をつけるべきことを事例(過去)から学ぶ、そして"適切な対策 はまず相手をすること"としている。 -
Posted by ブクログ
サイバー攻撃でつかれるソフトウェアの「脆弱性」とはどういう点なのか、初学者にもわかりやすいレベルのプログラムの例を紹介してくれているので非常によい。この方面は難しそうであるし、大多数の一般人の耳目を集める分野ではないだろうが、インターネットが電気ガス水道と同じレベルで普及している現在、自覚ないレベルで情報を盗まれたり、踏み台にされたりするリスクはインターネットを利用しているユーザー全員が対象となるという点で、その影響は世界的規模のインパクトとなる。本書に紹介されている基本的な攻撃手法を知っておくことだけでも、インターネットの利用するときの心構えも若干なりとも変わるのではないだろうか。
また、世 -
-
-
Posted by ブクログ
本書は、ITに関係する間近におこる犯罪を、「サイバー攻撃 ネット世界の裏側で起きていること」と分かり易いタイトルで表している。注文した覚えのない商品の請求書がネットサイトから届いたり、大事な情報を小まめにアップしていたブログやTwitterなどが、いつのまにか書き換えられていたりなどは、身近でもおこりうる「サイバー攻撃」の例である。それまでおおよその防御策は知っていたが、本書のおかげで、より深く知ることができた。
本書では、まずサイバー攻撃で悪用される「脆弱性」について説明している。そしてこれが防げるかどうかを論じ、プログラムの制御がどのようにして乗っ取られるのかを、とても分かり易く述べている -
Posted by ブクログ
読みやすかった
CVEが実質的な業界標準の脆弱性情報データベース
日本ではIPAが受け付けている
脆弱性の深刻度はCVSS
脆弱性の種類はCWE
ソフトウェアの脆弱性の中でいちばん典型的なものが、バッファオーバーフローの脆弱性
スタック領域とは、おもに各関数の中でのみ利用されるデータなどを保存するための領域
スタック領域上でバッファからデータがあふれることに起因する脆弱性を、スタックバッファオーバーフローの脆弱性と呼ぶ
脆弱性を悪用して任意のコードを実行する手順、①戻りアドレスをシェルコードの先頭アドレスに書き換える②呼び出し元関数に戻る際に、処理が上書きされたアドレスに移る③シェル -
Posted by ブクログ
脆弱性というものの基本的な事柄と攻撃手法が理解できた。
バッファオーバーフロー、書式指定文字列機能の悪用、クロスサイトスクリプティング、SQLインジェクションなど、ユーザーからの入力情報をそのまま取り込んでしまう設定の場合に、そこで悪意あるhtmlやSQL構文が入力され解釈実行されてしまうと不正が実現してしまうというもの。
最終章の、攻撃者側の不正なビジネスモデル（悪性webサイト構築キット、そのキットの使用料や悪性webサイトの使用料や感染までを請け負うサービス対価など多様な収入源）があることや、脆弱性報奨金制度や売買市場（正規、非正規）の存在なども興味深い話だった。 -
-
Posted by ブクログ
ネタバレタイトルからは、ネット空間での北朝鮮サイバー部隊との闘い、みたいな内容を想像していまうが、さすがはブルーバックス。オーバーフローなどのソフトウェアの脆弱性の例と、それがどう、ハッキングに使われているのかといった技術的な内容がほとんど。
・脆弱性が明らかになり、攻撃に対して無防備な期間をゼロデイ期間といい、パッチなどが配信される日（ワンデイ）までに行なわれる攻撃をゼロデイ攻撃という。
パッチが配信されると、このパッチを調べることで修正対象の脆弱性が攻撃者に分かってしまい、それを悪用する攻撃ツールやマルウェアが作られる。なのでパッチが配信された場合はできるだけ早急に適用するのがよい