概要

攻撃者の思考モデルを起点にサイバーセキュリティの攻防を体系的に理解する

想定読者

情シス・CSIRT・セキュリティエンジニアとして働き始めた人や、これからセキュリティ業務に携わる予定の社会人。OODAループや戦略モデルを軸に、攻撃側と防御側を一冊で整理したい人

こんな人には向いていない

• ペネトレーションテストやマルウェア解析など、特定の攻撃技術を手を動かして習得したい読者には実装演習が不足する
• SOCやCSIRTの高度な運用(SIEM分析・インシデントレスポンス手順の精緻化)を既に実践している人には基礎事項の比重が大きい
• コードや技術仕様の詳細を求める読者には向かない。本書の焦点は概念・戦略・組織的対応にある

読了後にできるようになること

• OODAループをサイバーセキュリティに適用し、攻撃者の意思決定サイクルを防御戦略の構築に活かせる
• 外部攻撃・ソーシャルエンジニアリング・内部攻撃・ダークウェブといった脅威カテゴリを分類して理解し、対策の優先順位付けができる
• リスク評価とシステムテストの基本的な進め方を理解し、自組織の脆弱性を可視化するアプローチを身に付けられる
• セキュリティオペレーションセンター(SOC)の役割と、組織全体でセキュリティを運用する体制設計の考え方を学べる
• インシデント発生後の対応手順(ハッキングされたら何をするか)を概念レベルで把握できる
• 攻撃者の動機・行動原理を理解することで、防御策の設計に攻撃者視点を取り込む思考様式を養える

本書のキー概念(章解説)

• 序章：サイバーセキュリティとハッカー — 脆弱性・戦略モデル・OODAループの3つの軸を最初に提示。ここを押さえると以降の章の見通しが格段に良くなる
• 第 1 章 サイバーセキュリティとハッカー
• 第 2 章 サイバーセキュリティ：みんなの問題 — 組織論・社会的文脈での位置付けを扱う。技術者以外のステークホルダー説得にも使える視点
• 第 3 章 ハッカーを理解する — 攻撃者の動機・心理モデルを整理する章。防御設計の前提として重要度が高い
• 第 4 章 外部攻撃
• 第 5 章 だまして侵入する：ソーシャルエンジニアリング — 技術的な対策だけでは防げない人的要因を扱う。CSIRT・セキュリティ教育担当者に直結する内容
• 第 6 章 内部攻撃
• 第 7 章 ダークウェブ：盗難データの取引場所
• 第 8 章 リスクの理解 — 第2部(防御編)の入口。リスク評価フレームワークの基礎を扱い、実務的なリスク管理計画の起点になる
• 第 9 章 システムのテスト
• 第 10 章 セキュリティオペレーションセンター — SOC設置・運用の概要を学べる章。これからSOC体制を整備する組織の担当者に参照価値が高い
• 第 11 章 人々を守る
• 第 12 章 ハッキングされたら

ハイライト

• 攻撃者についての知識を持って武装すれば、防御を成功させるための最良のアプローチとなります。全章を通して、サイバーセキュリティ戦略モデルの3要素、サイバーセキュリティの3つの要素、OODAループなどのキーワードを一貫して使っています。(本書の構成原理が端的に示されており、攻撃者理解を防御設計に直結させるという本書固有のアプローチが読み取れる)
• 現在情シスやCSIRT、セキュリティエンジニアの人にはしっかり刺さる内容(実務でセキュリティに携わる読者層への適合性を、実際に購入した読者が言語化した箇所)

外部からの言及

• 図書館で借りた後に自腹で購入するほど評価が高かったと報告する読者がいる。情シス・CSIRT・セキュリティエンジニア向けの内容として、徳丸氏など業界識者からも評価されたとの言及がある(blog)
• マイナビブックスが入門書中心と思われがちな中で、深度のある技術書の一例として本書が挙げられており、出版社の幅広いラインナップを示す文脈で参照されている(qiita)

編集メモ

Qiita での直接言及は1件(402 likes の技術書電子配信まとめ記事内で事例として挙げられる程度)、書名単独の書評記事は未確認。note.com に購入報告1件。Axiom Business Book Awards 2023 受賞(bronze)という外部評価はあるが、国内エンジニアコミュニティでの引用実績は現時点では限定的

読む前に押さえておきたいこと

• ネットワーク通信の基本概念(TCP/IP、HTTP、DNS)の大まかな理解
• セキュリティ用語(脆弱性・マルウェア・フィッシング・認証)の日常的な意味レベルの把握
• 組織内のITシステム運用に関わった実務経験(規模・役割は問わない)

学習のコツ

• 序章でサイバーセキュリティ戦略モデルの3要素とOODAループを把握してから各章を読むと、個別の攻撃・防御パターンがモデルの中に位置づけられ、知識が断片化しにくい
• 第1部(攻撃編:1〜7章)と第2部(防御編:8〜12章)は対称構造になっているため、防御側の実務担当者でも第1部の攻撃者視点章を読み飛ばさず通読すると、防御策の設計根拠が明確になる
• 5章(ソーシャルエンジニアリング)と11章(人々を守る)は技術的対策だけでは防げない人的リスクを扱う。セキュリティ教育・意識向上施策の担当者はこの2章を優先的に参照できる
• 本書は概念・フレームワーク中心の構成であるため、並行して実際のCVEデータや自組織のリスク評価シートに当てはめながら読むと実務への接続が早くなる