つぎはぎ | SE歴16年

【技術とキャリアを伸ばし、働き方の選択肢を増やすヒントを発信】インフラを軸にクラウド・セキュリティ領域に携わる現役SE｜異業種→SE歴16年｜大病・大手術を機に人生と働き方を見直した｜SEひとり1人の市場価値を高めたい
※大喜利ネタ大好きです。
　たまにふざけた投稿もしています。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

「セキュリティ」と一言で言っても、実はこんなに分野がある。

📁 サイバーセキュリティ
│
├─ 📁 ネットワークセキュリティ
│ ├─ Firewall
│ ├─ IDS / IPS
│ ├─ VPN
│ ├─ NAC
│ └─ Zero Trust
│
├─ 📁 アプリケーションセキュリティ
│ ├─ Web Security
│ ├─ API Security
│ ├─ Secure Coding
│ ├─ SAST / DAST
│ └─ Software Supply Chain Security
│
├─ 📁 クラウドセキュリティ
│ ├─ AWS Security
│ ├─ Azure Security
│ ├─ GCP Security
│ ├─ Container Security
│ └─ Kubernetes Security
│
├─ 📁 ID・アクセス管理
│ ├─ IAM
│ ├─ PAM
│ ├─ MFA
│ ├─ SSO
│ └─ Active Directory
│
├─ 📁 セキュリティ運用
│ ├─ SIEM
│ ├─ SOAR
│ ├─ EDR / XDR
│ ├─ Threat Detection
│ ├─ Threat Hunting
│ └─ Incident Response
│
├─ 📁 オフェンシブセキュリティ
│ ├─ Penetration Testing
│ ├─ Red Teaming
│ ├─ Exploit Development
│ ├─ Vulnerability Research
│ └─ Social Engineering
│
├─ 📁 脅威インテリジェンス
│ ├─ OSINT
│ ├─ Malware Analysis
│ ├─ IOC Analysis
│ └─ Adversary Intelligence
│
├─ 📁 デジタルフォレンジック
│ ├─ Disk Forensics
│ ├─ Memory Forensics
│ ├─ Network Forensics
│ ├─ Mobile Forensics
│ └─ Malware Forensics
│
├─ 📁 暗号技術
│ ├─ Encryption
│ ├─ Hashing
│ ├─ Digital Signatures
│ ├─ PKI
│ └─ Key Management
│
└─ 📁 GRC
├─ Governance
├─ Risk Management
├─ Security Policies
├─ Compliance
├─ Security Auditing
└─ Security Awareness

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

無事にプロジェクトが炎上したので、流れを共有します。

ベテランに仕事を集中
↓
「この人がいれば大丈夫」と放置
↓
ベテランが限界で退職
↓
引き継ぎ資料がない
↓
経験の浅い人を急いで増員
↓
残った中堅が教育と実務を兼任
↓
中堅も限界で退職
↓
会議で「なぜ人が定着しないのか」を検討

人が足りないのではない。
人を大切にする仕組みが足りなかった。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

この5つは、攻撃が成立する条件と防御策までセットで押さえておきたい。

代表的なケースを整理すると👇

① SQLインジェクション
成立条件：
外部からの入力がSQL文に混ざり、データではなく命令の一部として解釈されること。

防御策：
SQLをパラメータ化し、命令と入力値を分離する。テーブル名などパラメータ化できない部分は許可リストで制限。被害を抑えるため、DB権限も必要最小限にする。

② XSS
成立条件：
攻撃者が操作できるデータが安全に処理されず、利用者のブラウザでスクリプトとして実行されること。

防御策：
出力先に応じたエスケープと、安全な表示APIを使う。HTMLを受け付ける場合は、危険な要素を除去するサニタイズを行う。CSPによる実行制限も補助的に併用する。

③ CSRF
成立条件：
Cookieなどの認証情報がブラウザから自動送信され、攻撃者が送らせたリクエストでも、更新や削除などが実行されること。

防御策：
更新系リクエストのCSRFトークンをサーバー側で検証する。Originの確認やCookieのSameSite設定も併用し、GETで更新・削除などを行わない。

④ ブルートフォース
※オンライン認証の例
成立条件：
ログインを繰り返し試せる経路があり、試行を重ねて正しいパスワードを当てられること。

防御策：
長く推測しにくいパスワード、多要素認証、試行回数・頻度の制限を組み合わせる。送信元IPだけでなく、アカウント単位でも試行を制御する。

⑤ DoS／DDoS
※資源を枯渇させる攻撃の例
成立条件：
攻撃通信や負荷の高い要求によって、回線・接続枠・処理能力などが圧迫され、正常な利用を妨げられること。DDoSは複数の送信元から行われる。

防御策：
レート制限、接続タイムアウト、処理量の上限設定を行う。CDNやDDoS対策サービスも活用し、回線を埋める攻撃には通信事業者など上流側で対処する。

対策を入れた後も、設定が有効に働いているか、正規利用者の操作を妨げていないかまで確認する。

[🐢みどりがめ🐢 @sa04ru18kiti]

ITエンジニアが理解したいセキュリティ攻撃5選
・SQLインジェクション
・XSS
・CSRF
・ブルートフォース
・DoS/DDoS
資格試験でも実務でも頻出。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@taka_en_famille 子どもの笑顔を見ると、家では優しいパパなのかもしれないと想像してしまう。でも、理不尽に詰められた不満は消えない、もどかしさ。
その優しさを部下にも向けてほしい、と思いながら、怒りの勢いを削がれてしまう感じですね。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

調査は、何を疑っていて、どの結果ならその仮説を外せるかまで考えてから入りたいですね。
確認した項目が増えても、原因の候補が絞れていなければ、切り分けが進んだとは言えないので。

[わんこPM @dx_saru]

巻き込まれてはいけないもの

「仮説のない調査」

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@HES__9999 私もプロとして仕事の質にこだわり、期待に応えることにやりがいを感じてきました。
高い要求を出し合いながらも、困ったときには率直に相談できる。そんな関係で仕事ができるといいですよね。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@zangiPM 無駄な会議が一つ減る方がありがたいです。
負担が減って、自分が大事にしたいことに時間を使えると嬉しいです。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@backyarD_D そこは「そんなことにはならない」と否定してほしいですよね
役員からその返事が来たら、事故を防ぐ提案より、自分を守る方法を考えたくなります…。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@sigma1991h ええええええ......
それは仰天ですね

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Ogiribot

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@koppi_lab はい…

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

本来は企業側が脆弱性を先に見つけて直したい。
でも実際は、攻撃者の方が早いことがある。

攻撃者：見つけたらすぐ試す
企業側：影響調査→テスト→承認→本番適用

さらに古い機器や診断漏れ、パッチ遅延、設定ミスもある。「診断される前に攻撃者に見つかる」は、意外と現実的な話。

[6番 @Number6u]

てか最近、情報漏洩の発表が重なりすぎて違和感。

AI悪用で攻撃が同時多発してるのか、各社が公表のタイミングを待ってただけなのか。どっちなんだろう。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@KMYY508 @Number6u 大問題です....

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Ogiribot

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Number6u ほんとにそうですね...

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Number6u やばいですね

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

ITエンジニアの年収は、
経験年数だけでは上がらない。

評価されるのは、
「何年やったか」より
「どこまで任せられるか」。

・手順を実行する→手順を作る
・監視する→原因を分析して改善する
・構築する→要件を聞いて設計する
・指示を待つ→課題を見つけて提案する
・自分で完結する→周囲を動かして進める

資格や製品知識も大切。
でも年収につながりやすいのは、
技術を使って何を解決したかを
説明できる経験。

作業者から、
判断を任される人へ。
その変化が、自分の市場価値を変えていく。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Ogiribot 武器も防具も、母親の年金で買った。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Ogiribot おじいちゃんが遺言書の誤字修正（息子→孫）に間に合いますように

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@HELLO_SP500 辞めるのは自由だけど、顔は返してもらうよ。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@SES1285231 エンジニア
「どこも終わってるのに、なんで俺の仕事だけ終わらないんだ」