Webアプリケーションの中でも最も有名な脆弱性の一つであるSQLインジェクションについて説明していきます。

■概要
多くのWebアプリケーションはデータベースと連携し、ユーザからの入力情報を基にSQLを組み立てDBMS経由でデータベースへ送信します。
その際、適切な対策が施されていないと攻撃者からの悪意あるリクエストによって不正なSQLを送信し、本来意図しない操作をされてしまう可能性があります。

■想[…]

前回、脆弱性診断の診断実施後の対応について述べました。
今回は脆弱性の種類について説明していきます。

脆弱性は以下のようなものがあります。

・インジェクション系
SQLインジェクション
コマンドインジェクション
クロスサイトスクリプティング

・認証系
認証回避
ログアウト機能の不備や未実装
脆弱なパスワードポリシー
復元可能なパスワード保存
パスワードリセットの不備

・認可制御の不備・[…]

前回、脆弱性診断の診断実施について述べました。
今回は脆弱性診断の実施後の対応について説明していきます。

■報告書作成
前回の診断実施で得た診断結果、証跡を元に報告書を作成します。
概要で大まかな結果を記載し、診断結果詳細で証跡を張り付けて信憑性を確保します。

■報告会の実施
お客様と日程調整して、報告会を実施します。
事前に報告書は送付しているため、全文を読むのではなく概要から危険度の高い脆弱性を中心に[…]

前回、脆弱性診断の診断前の準備について述べました。
今回は脆弱性診断の診断実施について説明していきます。

以下のような流れで診断を実施していきます。

■対象サイト内の巡回
診断対象となる画面を巡回し、診断にあたって支障となりそうな箇所をあらかじめ洗い出しておきます。
必要に応じて顧客担当者へ連絡し、進捗に影響がないように問題点を解決してもらうようにします。

■自動診断、手動診断
自動診断ツールを用いて[…]

前回、脆弱性診断の流れについて述べました。
今回は脆弱性診断の診断前の準備について説明していきます。

■見積
診断対象を明確にするために、見積を実施します。
見積にあたって画面遷移図やサイトマップなどを顧客から送付してもらったり、実際にWebサイトができている場合にはブラウザによる遷移とパラメータ数を確認して算出したりします。
WebAPIの診断も依頼されることがあり、その際にはマニュアルを送付してもらいます。[…]

前回、脆弱性診断というものについて述べました。

今回は脆弱性診断の実施に向けての流れについて説明していきます。

脆弱性診断はおおまかに以下のような流れとなります。

実施前の準備
↓
診断実施
↓
診断後の対応

それぞれの段階ではさらに以下のような内容の作業（診断者によっては多少異なる）が発生してきます。

・診断前の準備
見積
ヒアリング
診断対象の確認

・診断実施
対象サイト[…]

システムエンジニアとして、多くの方がシステムの開発に携わっているかと思います。
その過程でプログラムが意図したとおりに動作するか確認するテスト工程があり、そこでバグ（プログラムの誤り）を取り除く必要があります。
バグの中には情報漏えいを引き起こしたり、データ改ざん、上位権限で操作を行うことが可能となるバグも存在し、このような悪用可能なバグを「脆弱性」と呼びます。
この脆弱性を発見するためのテスト手法が脆弱性診断となります[…]

初めまして。
システムエンジニアとして、ネットワークやセキュリティ系の業務を主に担当してきました。
今回は、フリーランスのシステムエンジニアとしての仕事の取り方について3パターン説明していきます。

• クラウドソーシングの利用
一番お手軽なパターンです。
「ランサーズ」や「クラウドワークス」といったサービスを利用し、案件を選んで応募ができますが、単価は安くなりがちです。

• フリーランスエージェントによる案[…]