【感想・ネタバレ】サイバー攻撃 ネット世界の裏側で起きていることのレビュー

中島明日香

サイバー攻撃から身を守るには、攻撃者の手口を知る必要がある。サイバー攻撃の足がかりとなるソフトウェアの｢脆弱性｣は、なぜ生まれてしまうのか? 脆弱性はどのように悪用されるのか? 脆弱性が発見されると、誰がどんな対応をとるのか? さまざまな事例を使い、情報セキュリティの舞台裏で繰り広げられる攻防戦を解説する。さらに、脆弱性情報が売買される巨大市場や、すでに起きているサイバー戦争を紹介する。

[ブクログ · ★★★★★]

『Software Design 4月号』（技術評論社）で取り上げられていたので読んでみた。すごくわかりやすく書かれていて、私自身にも知識があるので決して難しくはなかったが、それでも一般的には難しいかもなあ。ざっと読んで、わからなかったところはあとでもう一度読む、がおすすめ。

[ブクログ · ★★★★★]

情報工学を学んでいない人にも理解できるように書かれたサイバー攻撃の解説書です．
ターゲットの設定から技術的な内容は専門書の内容のさわり程度であるが, よく書かれています．
情報工学のセキュリティの分野を学んだことがある人にとっては, 技術的内容は既知のことばかりと思います．個人的には知識が技術よりに偏っているため, 社会的な取り組みやこれまでにあったサイバー攻撃, 脆弱性報告の実例の話題は初めて知る内容で大変面白かったです．

[ブクログ · ★★★★☆]

サイバー攻撃の入門書。サイバーとは広義にコンピュータ関連のこと。

著者はセキュリティ分野に長く従事しているプロであり、わかりやすく解説されてるので、IT知識がなくても読める。ただ、知識があるだけ、業務や仕事で携わっているだけなお面白い。

本書は具体例に富んでいる。過去の事例をベースに、バッファオーバーフローやクロスサイトスクリプトなどを実際のコードとともに紹介しているので理解しやすくどういった経路・仕組みで発生させているかがわかる。

本書の意図としては、セキュリティに関して気をつけるべきことを事例(過去)から学ぶ、そして"適切な対策 はまず相手をすること"としている。

[ブクログ · ★★★★☆]

発行が2018年なため、それまでのサイバー攻撃関連状況がまとめられている感じです。2025年現在、AIが進化してきたため、こちら方面へのAI活用が期待されます。

[ブクログ · ★★★★☆]

It’s been a while since I came across a topic that was completely beyond my grasp, and it got me excited. I’m looking forward to working in a field that 99% of people don’t understand. By the way, half of this book is technical, so I’ll need to go back and read it again.

[ブクログ · ★★★★☆]

著者のユーモアが本書の所々に現れており楽しく読めた。なぜセキュリティが重要なのかということを把握したり、過去に起きた問題や、歴史について学んだりできる良書です。今後の技術発展と一緒に必ず並走するのがセキュリティなので本書を読んでおくのはいいと思う。
BOFあたりから技術的要素が強まってくるので、難しい点は飛ばし飛ばしでもイメージは持てるかなと思う。BOFやXSSはよく解説された本はあるが、printf脆弱性については勉強になった。
各章の基礎解説は、ハッキングの仕組みを説明するうえでは重要かと思いますがセキュリティの根幹ではないのでもう少しざっくりとでもいいかなと、思う(初心者には説明が難しいように思うし、知っている人にとっては基本的内容すぎるので飛ばしても問題ない)。

[ブクログ · ★★★★☆]

この本は、学生時代のリバイブになった本
　
本の中身としては、セキュリティの攻撃のされ方、学校で学べない実務よりの内容も書かれてるため
学べることも多い一冊
セキュリティエンジニアを目指してる人は、読んでもらいたい一冊です。

[ブクログ · ★★★★☆]

サイバー攻撃でつかれるソフトウェアの「脆弱性」とはどういう点なのか、初学者にもわかりやすいレベルのプログラムの例を紹介してくれているので非常によい。この方面は難しそうであるし、大多数の一般人の耳目を集める分野ではないだろうが、インターネットが電気ガス水道と同じレベルで普及している現在、自覚ないレベルで情報を盗まれたり、踏み台にされたりするリスクはインターネットを利用しているユーザー全員が対象となるという点で、その影響は世界的規模のインパクトとなる。本書に紹介されている基本的な攻撃手法を知っておくことだけでも、インターネットの利用するときの心構えも若干なりとも変わるのではないだろうか。
また、世界中の個人や組織が脆弱性を発見し、対処している、その一端を垣間見ることもできて大変興味深かった。

[ブクログ · ★★★★☆]

メジャーな攻撃手法をやさしく解説してある。
セキュリティ関連に携わっている人は知っていることが多いと思う。
セキュリティに興味を持ち始めた人が読んでみるといいと感じた。

[ブクログ · ★★★★☆]

｢プログラムの脆弱性｣｢システムへの侵入｣などといった、良く耳にするがよくわかっていない情報セキュリティの概念に対するイメージを掴むことができた。仮想通貨関連の問題で情報セキュリティへの不信感が広がっている中では、筆者の言っているように具体的にどのような手法で攻撃が行われているのか知っておくことが非常に重要であると思う。攻撃手法の説明はノンプログラマーには若干不親切であったが、それでも得るものは大きかった。情報セキュリティの入門書として非常にわかりやすく、今後の学習を広げたくなる1冊だった。

[ブクログ · ★★★★☆]

本書は、ITに関係する間近におこる犯罪を、「サイバー攻撃　ネット世界の裏側で起きていること」と分かり易いタイトルで表している。注文した覚えのない商品の請求書がネットサイトから届いたり、大事な情報を小まめにアップしていたブログやTwitterなどが、いつのまにか書き換えられていたりなどは、身近でもおこりうる「サイバー攻撃」の例である。それまでおおよその防御策は知っていたが、本書のおかげで、より深く知ることができた。
本書では、まずサイバー攻撃で悪用される「脆弱性」について説明している。そしてこれが防げるかどうかを論じ、プログラムの制御がどのようにして乗っ取られるのかを、とても分かり易く述べている。最後にはどのようにしてサイバー攻撃から身を守るかを、教えてくれている。
作者は情報セキュリティ社会に身を置くその道のプロ。攻撃手法の技術的説明の部分など分かりづらいところもあるが、ネット社会の裏側で起こっている攻防が良く分かった。犯罪者がどのようにしてシステムに侵入するのか、ずっと疑問に思っていたが、その謎も解消でき、すっきりした。
サイバー攻撃もさまざまな形や手法が生み出されつづけている。それを生み立つ知識と手腕があれば、悪の方面でなく、平和に役立つような方向へもってきて欲しいものだと思った。

[ブクログ · ★★★☆☆]

読みやすかった

CVEが実質的な業界標準の脆弱性情報データベース
日本ではIPAが受け付けている

脆弱性の深刻度はCVSS
脆弱性の種類はCWE

ソフトウェアの脆弱性の中でいちばん典型的なものが、バッファオーバーフローの脆弱性

スタック領域とは、おもに各関数の中でのみ利用されるデータなどを保存するための領域
スタック領域上でバッファからデータがあふれることに起因する脆弱性を、スタックバッファオーバーフローの脆弱性と呼ぶ

脆弱性を悪用して任意のコードを実行する手順、①戻りアドレスをシェルコードの先頭アドレスに書き換える②呼び出し元関数に戻る際に、処理が上書きされたアドレスに移る③シェルコードが実行される
この攻撃のためのプログラムを英語では「Exploit」
例えば管理者権限で動作しているもので、シェルが起動すると管理者権限を持たれてしまう

書式指定文字列の脆弱性
代表的な関数はprintf
攻撃に関係する書式指定文字列の機能3つ
・最小フィールド幅（例:%10d）
・ダイレクトパラメータアクセス（例:%2$d）
・書式指定子「%n」

戻りアドレスをシェルコードの先頭アドレスに書き換える手順
1.戻りアドレスを保存しているアドレスを入力データとして入力する
2.シェルコードの先頭アドレスにあたる数値と同等のバイト数（文字数）を出力する
3.「%n」とダイレクトパラメータアクセスを利用して、戻りアドレスを書き換える

他の脆弱性
整数オーバーフロー
解放済みメモリ使用
二重解放
ヌルポインタ参照
競合状態

Web
クロスサイト・スクリプティング
これが大半
手法
反射型XSS（例:セッション・ハイジャック）メールのリンクに埋め込む
持続型XSS （サイトに埋め込む）
DOM Based XSS （DOM操作のJavaScriptを悪用）

SQLインジェクション

Webサイトに対する攻撃の対策手法・技術
・Webアプリケーション脆弱性診断
「OWASP ZAP」「skipfish」「Nikto」
「sqlmap」
「Burp Suite」「Fiddler」
・WAF
「ModSecuritx」
・CSP

OWASPの公式サイト

Exploit Kitを利用した金銭目的マルウェアの感染攻撃
Exploit Kitとは悪性のWebサイトを構築するフレーワークの名称
悪性Webサイトを閲覧しただけでマルウェアに感染する攻撃を「Drive-by Download攻撃」という
バンキングマルウェア（MITB）
銀行関係のWebサイトにアクセスしたときだけ、偽の認証画面を表示して情報を盗み取る
ランサムウェア
SaaSのExploit Kit版EaaSがある
貸し出し方が2種類。1つはサイトの時間貸し。2つめは代理業で成功報酬型

バグハウンティング
脆弱性の買取市場
正規と非正規がある
非正規はDeep WebまたはDark Webで
脆弱性発見コンテスト
「DEF CON CTF」「SECCON CTF」

DDoS攻撃
Stuxnetはサイバー兵器と呼ばれたマルウェア

サイバーパンク小説「Project SEVEN」

[ブクログ · ★★★☆☆]

脆弱性というものの基本的な事柄と攻撃手法が理解できた。
バッファオーバーフロー、書式指定文字列機能の悪用、クロスサイトスクリプティング、SQLインジェクションなど、ユーザーからの入力情報をそのまま取り込んでしまう設定の場合に、そこで悪意あるhtmlやSQL構文が入力され解釈実行されてしまうと不正が実現してしまうというもの。
最終章の、攻撃者側の不正なビジネスモデル（悪性webサイト構築キット、そのキットの使用料や悪性webサイトの使用料や感染までを請け負うサービス対価など多様な収入源）があることや、脆弱性報奨金制度や売買市場（正規、非正規）の存在なども興味深い話だった。

[ブクログ · ★★★☆☆]

全体的には平易で読みやすいが、クロススクリプティングやSQLインジェクションの解説部分が妙に技術的で不思議な本でした。

[ブクログ · ★★★☆☆]

タイトルからは、ネット空間での北朝鮮サイバー部隊との闘い、みたいな内容を想像していまうが、さすがはブルーバックス。オーバーフローなどのソフトウェアの脆弱性の例と、それがどう、ハッキングに使われているのかといった技術的な内容がほとんど。

・脆弱性が明らかになり、攻撃に対して無防備な期間をゼロデイ期間といい、パッチなどが配信される日（ワンデイ）までに行なわれる攻撃をゼロデイ攻撃という。
パッチが配信されると、このパッチを調べることで修正対象の脆弱性が攻撃者に分かってしまい、それを悪用する攻撃ツールやマルウェアが作られる。なのでパッチが配信された場合はできるだけ早急に適用するのがよい