tomohiro– Author –

「自社サイトもHTTPS化しないとマズいと聞いたけど、TLSとSSLって結局何が違うの？」「証明書にもDV・OV・EVと種類があるらしいが、どれを選べばいいのか判断できない」——情シス1人体制で運用を任されていると、こうした疑問が後回しになりがちです。 この...

「セキュリティ資格の中で、実務で本当に評価されるものはどれだろう？」 そんな問いに現場の答えとしてよく挙がるのが OSCP（Offensive Security Certified Professional）です。知識の暗記ではなく「実際にシステムを侵入・掌握できるか」を24時間ぶっ通...

「ランサムウェアに感染したらバックアップから戻せば大丈夫」——そう信じている中小企業の情シスは少なくありません。ところが近年の攻撃は、バックアップそのものを狙い撃ちにして復旧不能に追い込む手口が主流になっています。社内の共有フォルダにバッ...

「攻撃者の視点でセキュリティを学びたい」「ペネトレーションテストの基礎を体系的に身につけたい」と考えたとき、必ず候補に挙がる資格がCEH（Certified Ethical Hacker）です。世界的な知名度と「ホワイトハッカー」という親しみやすい肩書きから、若手...

「セキュリティの資格を取りたいけれど、種類が多すぎてどれを選べばいいかわからない」。そんな悩みを抱えている方は少なくありません。国家資格から国際認定まで、セキュリティ関連の資格は年々増え続けており、自分のキャリアステージに合った選択がま...

「導入しているソフトウェアは正規品だし、アップデートも公式サイトから適用している」――その安心感が、サプライチェーン攻撃の狙い目になっています。正規のソフトウェアや信頼している取引先を経由して攻撃が仕掛けられるため、従来のセキュリティ対策...

「自分はパスワードを使い回していないし大丈夫」と思っていても、社内の誰かが同じパスワードを複数サービスで使っていれば、そこが突破口になります。パスワードリスト攻撃は、過去の情報漏えいで流出したIDとパスワードの組み合わせを使い、別のサービ...

「セキュリティパッチは毎月適用している」「ウイルス対策ソフトも最新にしている」――それでも防げない攻撃があります。ソフトウェアの脆弱性が発見されてから修正パッチが提供されるまでの空白期間を狙う攻撃、それがゼロデイ攻撃です。 ゼロデイ攻撃は、...

「SELinuxは難しすぎて結局Permissiveにしている」――そんな声をよく耳にします。SELinuxの強力さは認めつつも、設定の複雑さに挫折した経験がある方は少なくないでしょう。 Ubuntu/Debian系のLinuxには、SELinuxとは異なるアプローチで強制アクセス制御（M...

「取引先を装ったメールに騙されて、社内システムのログイン情報を教えてしまった」「電話で社長の名前を出されて、つい振込先を変更してしまった」――技術的な脆弱性ではなく、人間の心理や行動の隙を突く攻撃。それがソーシャルエンジニアリングです。 IP...