おうちで学べるセキュリティのきほん

攻撃も対策も、自宅の PC でやってみれば「全部」わかる!

インターネットにおけるセキュリティの重要性は高まる一方であり、近年はスマートフォンや Web アプリケーション、クラウドサービスの普及により、新たなセキュリティ上の脅威が登場しています。セキュリティ対策を怠ってユーザーが被害にあった場合、報道や SNS での拡散などにより、サービス提供者が受ける社会的ダメージは非常に大きいものです。
しかし、システム開発の現場では「安全かどうかの診断を受ける予算がない」「リリース直前に診断を受けたら、システムの大幅な見直しが必要になった」などの問題があることも事実です。これらの問題は、現場のエンジニアに知識があれば回避できるものも少なくありません。

本書では、セキュリティの基本から最新動向までをすべて解説しています。セキュリティで重要なのは、ネットワーク / Web / サーバーの仕組みと、過去の攻撃事例を知ることです。つまり、知識が武器になります。
自宅の PC でもできる実習や、章ごとに確認問題も用意しているので、わかりやすく、かつ深く理解することができます。

Chapter1 セキュリティのトレンドを知ろう
Chapter2 インターネットセキュリティの基本を学ぼう
Chapter3 Web サービスにおける脅威を理解しよう
Chapter4 ネットワークのセキュリティを学ぼう
Chapter5 暗号技術と認証って何だろう
Chapter6 Web アプリケーションのセキュリティを学ぼう
Chapter7 サーバーのセキュリティを学ぼう

自宅のパソコンで攻撃と対策を実際に試しながら、ネットワーク、Web、サーバーのセキュリティの基本を学ぶ入門書が『おうちで学べるセキュリティのきほん』 (増井敏克 著、翔泳社、2015 年 7 月刊) です。副題は「全く新しいセキュリティの入門書」で、版元の紹介文は「攻撃も対策も、自宅の PC でやってみれば「全部」わかる!」と打ち出し、自宅の PC でもできる実習と章ごとの確認問題を用意していると案内しています。紹介文の問題意識は開発の現場にあり、診断を受ける予算がない、リリース直前の診断で大幅な見直しが必要になったといった問題には、現場のエンジニアに知識があれば回避できるものも少なくないと述べています。

全 7 章と付録の構成、通信の仕組みからサーバーの防御まで

目次は Chapter 1 から Chapter 7 までの 7 章と Appendix です。第 1 章で攻撃と対策のトレンドを押さえたあと、第 2 章「インターネットのセキュリティって何だろう〜インターネットの仕組みとセキュリティの基本〜」、第 3 章「Web サービスにおける脅威を理解しよう〜便利なテクノロジーの危険性〜」、第 4 章「ネットワークのセキュリティを学ぼう〜ネットワークの脅威を踏まえた設計〜」、第 5 章「暗号と認証って何だろう〜安全性を高めるための技術〜」と進みます。後半は第 6 章「Web アプリケーションのセキュリティを学ぼう〜HTTP に潜む脆弱性〜」と第 7 章「サーバーのセキュリティを学ぼう〜停止できないサービスへの攻撃〜」で、Appendix「安全な Web アプリケーションを作るために〜セキュリティを考慮した開発〜」が続きます。版元が抜粋して示す実習には、パスワードの強度の計算、ウイルスになったつもりでファイルを書き換える実習、暗号の解読、パケットが流れる様子の観察、不正アクセスの遮断が並びます。

手を動かすと仕組みが見える、通信と暗号の基礎

セキュリティの用語は、仕組みを知らないまま覚えると対策の理由が分からなくなります。たとえば通信の盗聴やなりすましは、TCP/IP でデータがどのような単位に分かれ、どの経路を通って届くのかを知っていれば、どこで何が見えてしまうのかとして理解できます。同じように、パスワードの強さは文字の種類と長さから総当たりに必要な試行回数として計算でき、暗号化 の強さも鍵の取り得る組み合わせの数として考えられます。暗号を自分で解読してみる経験は、単純な暗号が解読される理由や、鍵の長さが重要な理由を数字の感覚で捉える助けになります。

Web アプリケーションの脆弱性を作る側から学ぶ

紹介文が挙げる開発現場の問題と、後半の第 6 章、第 7 章、Appendix の題材は重なります。Web アプリケーションの 脆弱性 の多くは、利用者からの入力をそのまま処理や表示に使ってしまう、認証の確認を一部の画面で忘れる、といった作る側の判断から生まれます。診断は見つかった欠陥を指摘してくれますが、設計の段階で避けられたはずの欠陥がリリース直前に見つかると、手戻りは大きくなります。HTTP の仕組みと攻撃の型を開発者自身が知っておくことは、この手戻りを減らす手段になります。

本書は 2015 年 7 月の刊行で、取り上げる攻撃の事例や実習の環境は刊行時点のものです。具体的な製品の設定手順や、刊行後に登場したクラウドの仕組みの防御を確かめたい人は、別の資料と組み合わせる必要があります。脆弱性診断を専門の仕事として深めたい人にとっては入り口の位置づけです。一方で、Web サービスの開発や運用に関わり始めたエンジニアや、ネットワーク、Web、暗号、サーバーという守るべき範囲を一通り見渡したうえで自分の弱い分野を見つけたい人には、実習と確認問題で理解を確かめながら全体像をつかめる一冊です。