つぎはぎ | SE歴16年

【技術とキャリアを伸ばし、働き方の選択肢を増やすヒントを発信】インフラを軸にクラウド・セキュリティ領域に携わる現役SE｜異業種→SE歴16年｜大病・大手術を機に人生と働き方を見直した｜SEひとり1人の市場価値を高めたい
※大喜利ネタ大好きです。
　たまにふざけた投稿もしています。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

「セキュリティ」と一言で言っても、実はこんなに分野がある。

📁 サイバーセキュリティ
│
├─ 📁 ネットワークセキュリティ
│ ├─ Firewall
│ ├─ IDS / IPS
│ ├─ VPN
│ ├─ NAC
│ └─ Zero Trust
│
├─ 📁 アプリケーションセキュリティ
│ ├─ Web Security
│ ├─ API Security
│ ├─ Secure Coding
│ ├─ SAST / DAST
│ └─ Software Supply Chain Security
│
├─ 📁 クラウドセキュリティ
│ ├─ AWS Security
│ ├─ Azure Security
│ ├─ GCP Security
│ ├─ Container Security
│ └─ Kubernetes Security
│
├─ 📁 ID・アクセス管理
│ ├─ IAM
│ ├─ PAM
│ ├─ MFA
│ ├─ SSO
│ └─ Active Directory
│
├─ 📁 セキュリティ運用
│ ├─ SIEM
│ ├─ SOAR
│ ├─ EDR / XDR
│ ├─ Threat Detection
│ ├─ Threat Hunting
│ └─ Incident Response
│
├─ 📁 オフェンシブセキュリティ
│ ├─ Penetration Testing
│ ├─ Red Teaming
│ ├─ Exploit Development
│ ├─ Vulnerability Research
│ └─ Social Engineering
│
├─ 📁 脅威インテリジェンス
│ ├─ OSINT
│ ├─ Malware Analysis
│ ├─ IOC Analysis
│ └─ Adversary Intelligence
│
├─ 📁 デジタルフォレンジック
│ ├─ Disk Forensics
│ ├─ Memory Forensics
│ ├─ Network Forensics
│ ├─ Mobile Forensics
│ └─ Malware Forensics
│
├─ 📁 暗号技術
│ ├─ Encryption
│ ├─ Hashing
│ ├─ Digital Signatures
│ ├─ PKI
│ └─ Key Management
│
└─ 📁 GRC
├─ Governance
├─ Risk Management
├─ Security Policies
├─ Compliance
├─ Security Auditing
└─ Security Awareness

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@HELLO_SP500 「……本当に、僕の子供？」

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

無事にプロジェクトが炎上したので、流れを共有します。

ベテランに仕事を集中
↓
「この人がいれば大丈夫」と放置
↓
ベテランが限界で退職
↓
引き継ぎ資料がない
↓
経験の浅い人を急いで増員
↓
残った中堅が教育と実務を兼任
↓
中堅も限界で退職
↓
会議で「なぜ人が定着しないのか」を検討

人が足りないのではない。
人を大切にする仕組みが足りなかった。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@motomushoku_se 確かにw
元無職の社内SEさんの、これを超えるネタも楽しみにしてます😂

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@kanoushigeru01 なんじゃこの例えw
全然適切じゃないですw

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@uufu_engineer 実務で疑問を持ってから学ぶと、知識の使いどころが見えて、理解も深まりそうですね。
そこで全体の仕組みを押さえることが、次に一段大きな成果を出すための土台になりますね。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

判定処理より先に、筆跡解析が必要なのね

[Pythonアカデミア @python_academia]

True…いや、Falseか…？

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

優先度判定に「役職」という隠しパラメータがある

[よっぴー @yoppy_cyber]

大企業の情シスに入って衝撃だったこと

第1位
システム障害より偉い人のPCが繋がらないほうが緊急度が高い

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@backyarD_D 察しましたw

売上を理由にかばわれたら、被害を訴えた側はたまらないですよね…。
その対応を見たら、いざという時に自分も守ってもらえないのではと警戒するのも分かります。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

「もっと主体的に動こう」はいりません。
「コミュニケーションを増やそう」もいりません。
「成長意欲を持とう」もいりません。
「エンジニア自身の意識を変えましょう」も、
聞き飽きました。

そんなことより、
仕様変更を減らして、
無茶な納期をやめて、
障害対応を属人化させず、
レビューできる人を増やして、
技術的負債を返す時間をください。

エンジニアの生産性なんて、
本人の意識を変えるより、
邪魔している構造を直したほうが
だいたい早く上がります。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Number6u ありません！
つらい時も、悲しい時も、忙しい時も、イライラしている時も、食事はしっかり取ります。
腹が減っては戦えませんから💪

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

無事にプロジェクトが炎上したので、流れを共有します。

ベテランに仕事を集中
↓
「この人がいれば大丈夫」と放置
↓
ベテランが限界で退職
↓
引き継ぎ資料がない
↓
経験の浅い人を急いで増員
↓
残った中堅が教育と実務を兼任
↓
中堅も限界で退職
↓
会議で「なぜ人が定着しないのか」を検討

人が足りないのではない。
人を大切にする仕組みが足りなかった。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

この5つは、攻撃が成立する条件と防御策までセットで押さえておきたい。

代表的なケースを整理すると👇

① SQLインジェクション
成立条件：
外部からの入力がSQL文に混ざり、データではなく命令の一部として解釈されること。

防御策：
SQLをパラメータ化し、命令と入力値を分離する。テーブル名などパラメータ化できない部分は許可リストで制限。被害を抑えるため、DB権限も必要最小限にする。

② XSS
成立条件：
攻撃者が操作できるデータが安全に処理されず、利用者のブラウザでスクリプトとして実行されること。

防御策：
出力先に応じたエスケープと、安全な表示APIを使う。HTMLを受け付ける場合は、危険な要素を除去するサニタイズを行う。CSPによる実行制限も補助的に併用する。

③ CSRF
成立条件：
Cookieなどの認証情報がブラウザから自動送信され、攻撃者が送らせたリクエストでも、更新や削除などが実行されること。

防御策：
更新系リクエストのCSRFトークンをサーバー側で検証する。Originの確認やCookieのSameSite設定も併用し、GETで更新・削除などを行わない。

④ ブルートフォース
※オンライン認証の例
成立条件：
ログインを繰り返し試せる経路があり、試行を重ねて正しいパスワードを当てられること。

防御策：
長く推測しにくいパスワード、多要素認証、試行回数・頻度の制限を組み合わせる。送信元IPだけでなく、アカウント単位でも試行を制御する。

⑤ DoS／DDoS
※資源を枯渇させる攻撃の例
成立条件：
攻撃通信や負荷の高い要求によって、回線・接続枠・処理能力などが圧迫され、正常な利用を妨げられること。DDoSは複数の送信元から行われる。

防御策：
レート制限、接続タイムアウト、処理量の上限設定を行う。CDNやDDoS対策サービスも活用し、回線を埋める攻撃には通信事業者など上流側で対処する。

対策を入れた後も、設定が有効に働いているか、正規利用者の操作を妨げていないかまで確認する。

[🐢みどりがめ🐢 @sa04ru18kiti]

ITエンジニアが理解したいセキュリティ攻撃5選
・SQLインジェクション
・XSS
・CSRF
・ブルートフォース
・DoS/DDoS
資格試験でも実務でも頻出。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@taka_en_famille 子どもの笑顔を見ると、家では優しいパパなのかもしれないと想像してしまう。でも、理不尽に詰められた不満は消えない、もどかしさ。
その優しさを部下にも向けてほしい、と思いながら、怒りの勢いを削がれてしまう感じですね。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

調査は、何を疑っていて、どの結果ならその仮説を外せるかまで考えてから入りたいですね。
確認した項目が増えても、原因の候補が絞れていなければ、切り分けが進んだとは言えないので。

[わんこPM @dx_saru]

巻き込まれてはいけないもの

「仮説のない調査」

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@HES__9999 私もプロとして仕事の質にこだわり、期待に応えることにやりがいを感じてきました。
高い要求を出し合いながらも、困ったときには率直に相談できる。そんな関係で仕事ができるといいですよね。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@zangiPM 無駄な会議が一つ減る方がありがたいです。
負担が減って、自分が大事にしたいことに時間を使えると嬉しいです。

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@sigma1991h ええええええ......
それは仰天ですね

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@Ogiribot

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

@koppi_lab はい…

[つぎはぎ | SE歴16年 @Ms_ITsavvy]

本来は企業側が脆弱性を先に見つけて直したい。
でも実際は、攻撃者の方が早いことがある。

攻撃者：見つけたらすぐ試す
企業側：影響調査→テスト→承認→本番適用

さらに古い機器や診断漏れ、パッチ遅延、設定ミスもある。「診断される前に攻撃者に見つかる」は、意外と現実的な話。

[6番 @Number6u]

てか最近、情報漏洩の発表が重なりすぎて違和感。

AI悪用で攻撃が同時多発してるのか、各社が公表のタイミングを待ってただけなのか。どっちなんだろう。