ISBN 9784798159164
Webセキュリティ担当者のための脆弱性診断スタートガイド 第2版 上野宣が教える新しい情報漏えいを防ぐ技術
概要
OWASP ZAPとBurp Suiteで実践するWebアプリケーション脆弱性診断
想定読者
Webアプリケーションの脆弱性診断を担当するセキュリティ担当者・開発者で、診断ツールの実践的な使い方を体系的に習得したい人
こんな人には向いていない
- ネットワーク診断や組み込みセキュリティなど、Webアプリケーション以外の領域を主な関心とする読者
- すでにBurp Suite Proを日常的に使い込んでいるプロの診断士には、基礎事項の比重が大きく感じられる可能性がある
- セキュリティを一切触れたことがない完全な初心者には、HTTP通信の基礎知識が前提として求められる
読了後にできるようになること
- HTTPリクエスト・レスポンスの構造をセキュリティ診断の視点で読み解く力
- OWASP ZAPを使った自動脆弱性スキャンの実行手順と結果の解釈
- Burp Suiteを使ったプロキシ操作・パラメータ改ざんによる手動診断の技法
- BadStore仮想マシンを使った実習環境でのSQLインジェクション・XSS等の再現と確認
- OWASP Top 10 2017に準拠した診断項目の体系的なカバレッジ
- 脆弱性診断レポートの記述方式と、診断ガイドラインの活用法
本書のキー概念(章解説)
- 第 1 章 脆弱性診断とは — 診断の目的・位置づけを整理する導入章。開発者視点からセキュリティ担当へキャリアを広げたい読者に特に有益
- 第 2 章 HTTPの仕組みとWebアプリケーションの通信 — 診断ツールを正しく操作するための前提知識。HTTP経験が浅い場合はここで時間をかける価値がある
- 第 3 章 Webアプリケーションの脆弱性 — OWASP Top 10 2017に沿って主要な脆弱性の種類を概観する
- 第 4 章 脆弱性診断の流れと準備 — 診断フローの全体像を把握するための章。初めて診断プロジェクトを担当する人の地図になる
- 第 5 章 診断環境の構築 — BadStore仮想マシンのセットアップ手順。付録のVirtualBox設定と合わせて参照
- 第 6 章 OWASP ZAPによる自動診断 — 実践編の入口。自動スキャン結果の誤検知と見逃しパターンを理解する上で重要
- 第 7 章 Burp Suiteによる手動診断 — 本書の核心。パラメータ操作による手動検査の技法を習得する章で、繰り返し参照価値が高い
- 第 8 章 脆弱性診断レポートの作成 — 付属の診断ガイドラインと組み合わせることで、実務で使える報告書フォーマットが得られる
- 第 9 章 法規制とガイドライン — 診断を業務として実施する際のコンプライアンス面を扱う。担当者として最低限押さえるべき内容
ハイライト
- 本書ではWebアプリケーションの開発に必要なセキュリティを確認するための脆弱性診断についてまとめています。脆弱性診断を行う際のスタンダードツールとなっているOWASP ZAPとBurp Suiteを使用することで、開発者やセキュリティ担当者がセキュリティに問題がないかを検査することができます。(本書が対象とする診断ツールと読者像が端的に示されている箇所)
- 実際に問題があるBadStoreというWebアプリケーションを使用し、仮想マシン上で実際に手を動かしながら脆弱性診断の手法を学んでいきます。(手を動かす実習形式の学習設計が明確に示されており、座学だけでない実践重視の構成であることが伝わる)
外部からの言及
- VulnHubやCTFを扱うセキュリティ入門記事で参考文献として繰り返し掲載されており、独学でハンズオンセキュリティを始める読者が最初に手に取る書籍として定着している(qiita)
- SecuriST認定Webアプリケーション脆弱性診断士の資格取得を目指す実践者の間で、本書の内容を習得しておくと公式研修と同水準の知識が身につくという評価がある(qiita)
- 脆弱性診断レポートの作成演習において、本書付属の診断ガイドラインをそのまま流用するケースが複数見られ、実務テンプレートとしての活用が広がっている(qiita)
編集メモ
Qiita 言及記事 7件以上を確認、うち最高638 likesの記事に参考文献として掲載、SecuriST試験の合格体験記(14 likes)では同書を熟読した状態が公式研修の代替になると明言。件数・likesの合計規模はessentialには届かないが、Webセキュリティ診断領域で安定した参照実績を持つ実務向け良書
読む前に押さえておきたいこと
- HTMLフォームやクッキーなど、Webアプリケーションの基本的な動作の理解
- 仮想マシン(VirtualBox等)を自分でセットアップし起動できる程度のPC操作経験
- LinuxのCLI操作の基礎(コマンド実行・ファイル操作程度)
学習のコツ
- HTTP通信の基礎(第2章)に不安がある場合は、まずここを集中的に読んでからツール操作の章に進むと、OWASP ZAPの出力結果の意味が格段に理解しやすくなる
- BadStore仮想環境は第5章の手順どおりに構築した後、第6・7章を交互に同じ項目で試すと、自動診断と手動診断の補完関係が体感として身につく
- 付属の脆弱性診断ガイドラインは読み通すだけでなく、実際の診断プロジェクトでチェックシートとして印刷して使うことで即戦力ツールになる
- 第8章のレポート作成は、DVWA等の演習環境で診断を一通り実施した後に読むと、記載粒度の判断基準が具体的に理解できる
出版社による内容紹介
『Webセキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術』は2016年8月1日に初版が刊行されて2年が経ちました。日々変更されるセキュリティリスクに対応するため、さまざまな項目が見直されています。本書でも最新の状況に対応するため、OWASP Top 2017に沿って内容を一新いたしました。改訂版では、改訂されたガイドラインの解説、追加された脆弱性の説明、診察する箇所の見直し、診断ツールの最新版に対応などを行っています。 本書はWebアプリケーションの脆弱性をチェックするための解説書です。Webアプリケーションはユーザーの個人情報や商品情報など重要な情報を扱っています。Webアプリケーションの開発者がセキュリティに自信がある場合でも、開発者の勘違いや設計ミスなどがあることでWebアプリケーションに侵入・改ざんなどが行われ、個人情報が盗まれる恐れがあります。 本書ではWebアプリケーションの開発に必要なセキュリティを確認するための脆弱性診断についてまとめています。脆弱性診断を行う際のスタンダードツールとなっているOWASP ZAPとBurp Suiteを使用することで、開発者やセキュリティ担当者がセキュリティに問題がないかを検査することができます。 本書の前半では、Webアプリケーションがどのような仕組みで通信をし、脆弱性がどのようなものかといった診断に必要なネットワークの知識を学んでいきます。後半では、実際に問題があるBadStoreというWebアプリケーションを使用し、仮想マシン上で実際に手を動かしながら脆弱性診断の手法を学んでいきます。診断の仕方はOWASP ZAPを使用して自動的に脆弱性診断を行う方法と、Burp Suiteを使用して手動でフォームなどのパラメータに検査パターンを挿入し診断する方法など様々な手法を解説しています。また、脆弱性診断を行う際に便利な脆弱性診断ガイドラインも付いています。 著者の上野宣はOWASP Japanの代表であり、脆弱性診断の第一人者です。脆弱性診断の手法を身に付けることで、セキュリティを客観的に判断することができますので、Webアプリケーションの開発者だけでなく、経営者の方にもおすすめの1冊です。
この本がどの学習段階で役立つかは、 関連する ロードマップ から確認できます。