メインコンテンツまでスキップ

04 - セキュリティ・プライバシー

セキュリティ基礎​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.1 セキュリティマネジメント > セキュリティ体制構築・運営
  • 4. セキュリティ > 4.1 セキュリティマネジメント > セキュリティマネジメント
  • Information security - 情報リスクを低減することにより情報を保護する実践です
  • Vulnerability - 脅威アクターによって悪用される可能性がある弱点です
  • Threat - 脆弱性によって促進される潜在的な悪影響またはイベントです
  • Shared Responsibility Model - クラウドサービスプロバイダー（CSP）と顧客がクラウド環境のあらゆる側面を保護する責任を定めるセキュリティ・コンプライアンスフレームワークです

一般的な脅威と攻撃ベクトル​

  • Malware - コンピュータ、サーバー、クライアント、またはコンピュータネットワークに混乱を引き起こすために意図的に設計されたソフトウェアです
  • Ransomware - 被害者の個人データを公開するか、永遠にそのデータへのアクセスをブロックすることで脅迫し、身代金を要求するタイプのマルウェアです
  • Social engineering - 人々を行動させたり、機密情報を漏らさせたりするための心理的操作です
  • Phishing - 攻撃者が機密情報を明かすようにして人をだまそうとする不正なメッセージを送付するタイプのソーシャルエンジニアリングです
  • Business Email Compromise (BEC) - 攻撃者が高管経営者になりすまし、従業員または顧客を騙してお金または機密データを転送させるようにするタイプのフィッシング攻撃です
  • Infostealer - システムから情報を収集するように設計されたトロイの木馬のタイプです
  • Mirai (malware) - Linux を実行しているネットワークデバイスを遠隔制御可能なボットに変え、大規模ネットワーク攻撃で botnet の一部として使用できるマルウェアです
  • Think before you Click(Fix) - ユーザーが軽微な技術的問題を解決しようとする傾向を利用して、デバイス上で悪意あるコマンドを実行するように騙すソーシャルエンジニアリング技法です
  • Evilginx - ログイン認証情報とセッション Cookie をフィッシングするために使用される中間者攻撃フレームワークです

モダンセキュリティアーキテクチャ​

  • Zero trust security model - 信頼が暗黙的に付与されることなく、すべてのユーザーに対して検証が必要とされる IT システムの設計と実装に対するアプローチです

セキュリティトレーニングと競技​

  • Capture the flag (cybersecurity) - 参加者が専門的な知識と技法を使用して隠された「フラグ」（解答）を探し、最高得点を競うハッキング競技です
  • プラットフォーム
    • CTFd - 独自のサイバーセキュリティワークショップをホストするための最も簡単なキャプチャザフラッグプラットフォームで、テーマとプラグインで簡単にカスタマイズできる堅牢なベースを提供します

暗号化とデータ保護​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.2 セキュリティ技術 > セキュア設計・開発・構築

コア暗号化​

ハッシング​

  • ハッシュ関数
    • MD5 - 暗号論的に破られているが、それでも広く使用されている 128 ビットのハッシュ値を生成するハッシュ関数です
    • SHA-2 (SHA-224, SHA-256, SHA-384, SHA-512) - 米国国立安全保障局（NSA）によって設計された暗号ハッシュ関数のセットです
    • Bcrypt - Blowfish 暗号に基づいたパスワード ハッシュ関数です
    • Scrypt - Colin Percival によって作成されたパスワードベースの鍵導出関数です

共通鍵暗号​

  • Symmetric-key algorithm - 平文の暗号化と暗号文の復号化の両方に同じ暗号鍵を使用する暗号化アルゴリズムです
  • ブロック暗号
    • AES - 2001 年に米国国立標準技術研究所（NIST）によって確立された電子データ暗号化の仕様です
  • ストリーム暗号
    • Salsa20 ChaCha - Salsa20 のバリエーションで、ラウンドあたりの拡散を増加させながら同じまたはわずかに改善されたパフォーマンスを達成します
  • MAC（メッセージ認証コード）
    • HMAC - 暗号ハッシュ関数と秘密の暗号鍵を含むメッセージ認証コード（MAC）の特定のタイプです
  • 動作モード
    • CBC (Cipher block chaining) - ブロック暗号の動作モードで、平文のブロックが暗号化される前に前の暗号文ブロックと XOR されます
    • GCM (Galois/Counter Mode) - 対称鍵暗号ブロック暗号の動作モードで、そのパフォーマンスの観点から広く採用されています
    • CCM - 認証と機密性の両方を提供するように設計された暗号ブロック暗号の動作モードです

公開鍵暗号​

  • Digital signature - デジタルメッセージまたはドキュメントの真正性を検証するための数学的スキームです
  • Public-key cryptography - 鍵のペアを使用する暗号システムです
    • RSA - 安全なデータ送信に広く使用される公開鍵暗号システムです
    • EdDSA - ツイスト Edwards 曲線に基づく Schnorr 署名のバリエーションを使用するデジタル署名スキームです
  • 鍵合意
    • Diffie-Hellman key exchange - 公開チャネルを介して暗号鍵を安全に交換する方法です
    • Elliptic-curve Diffie-Hellman - 2 者が公開されていないチャネルを介して共有秘密を確立することを可能にする key agreement プロトコルです
  • 暗号化スキーム
    • RSAES-PKCS1-v1_5 - PKCS #1 のバージョン 1.5 で最初に標準化された古い暗号化・復号化スキーム（ES）で、脆弱性が知られています
    • RSAES-OAEP - ランダム性を追加し、部分的な復号化を防止することで RSA 暗号化を強化するパディングスキームで、PKCS#1 v2 と RFC 2437 で標準化されました
  • 署名スキーム
    • RSASSA-PKCS1-v1_5 - PKCS #1 のバージョン 1.5 で最初に標準化された署名付き署名スキーム（SSA）で、Jager et al.（2018）によると偽造不可と見なされています
    • DSA - デジタル署名のための公開鍵暗号システムおよび連邦情報処理標準で、モジュール指数化と離散対数問題の数学的概念に基づいています
    • ECDSA - 楕円曲線暗号を活用するデジタル署名アルゴリズム（DSA）のバリエーションです
  • 鍵フォーマット
  • 暗号標準とフォーマット
    • Cryptographic Message Syntax - デジタル署名、ダイジェスト、認証、またはあらゆる形式のデジタルデータの暗号化に使用される暗号化スキームとプロトコルのための IETF の標準です

公開鍵基盤（PKI）​

  • Public Key Infrastructure (PKI) - デジタル認証書を作成、管理、配布、使用、保存、失効させるために必要な役割、ポリシー、ハードウェア、ソフトウェア、および手順のセットです
  • Certificate authority (CA) - デジタル認証書を保存、署名、および発行するエンティティです
  • 登録機関（RA）
  • 検証機関（VA）
  • プロトコルと標準
  • 検証と登録
    • Domain Control Validation - 認証局（CA）が認証書を要求している個人または組織が認証書にリストされているドメインを制御しているかを検証するために使用されるプロセスです
  • トラストストア
    • Certifi - TLS ホストの ID を検証しながら SSL 認証書の信頼性を検証するための慎重に厳選されたルート認証書のコレクションです
  • Public key certificate - 公開鍵の有効性を証明するための電子ドキュメントです
    • ドメイン検証（DV）
    • 組織検証（OV）
    • 拡張検証（EV）
  • Let's Encrypt - TLS 認証書を提供する非営利認証局です
    • certbot - Let's Encrypt 認証書を手動で管理する Web サイトで自動的に使用できるようにするための無料のオープンソースソフトウェアツールです
    • lego - Go で書かれた Let's Encrypt クライアントおよび ACME ライブラリです
  • ACME (Automatic Certificate Management Environment) - 認証局とそのユーザーの Web サーバー間の相互作用を自動化するための通信プロトコルです
  • mkcert.org - ローカルで信頼された開発認証書を作成するためのシンプルなツールです
  • cert-manager - Kubernetes と OpenShift 用の強力で拡張可能な X.509 認証書コントローラーです
  • cfssl - Cloudflare の PKI ツールキットです

シークレット管理​

  • Vault - API キー、パスワード、認証書などのシークレットに安全にアクセスするためのツールです
  • OneCLI - AI エージェント用のオープンソース認証情報コンテナとプロキシゲートウェイで、シークレットを暗号化コンテナに保存し、鍵を公開することなくエージェント要求に挿入します
  • SOPS - YAML、JSON、ENV、INI、BINARY フォーマットをサポートする暗号化ファイルエディターです
  • git-secret - git リポジトリ内に機密データを保存するための bash ツールです
  • Kubernetes エコシステム
    • Sealed Secrets - 単方向暗号化されたシークレット用の Kubernetes コントローラーとツールです
    • Secrets Store CSI Driver - Kubernetes がエンタープライズグレード外部シークレットストアに保存されている複数のシークレット、鍵、認証書をポッドにボリュームとしてマウントできるようにするドライバーです
    • External Secrets Operator - AWS Secrets Manager、HashiCorp Vault、Google Secrets Manager、Azure Key Vault、IBM Cloud Secrets Manager などの外部シークレット管理システムを統合する Kubernetes オペレーターです
  • ベンダーサービス
    • Azure Key Vault - クラウドアプリとサービスで使用される暗号鍵と他のシークレットを保護するためのクラウドサービスです
    • Google Cloud Secret Manager - API キー、パスワード、認証書、およびその他の機密データのための安全で便利なストレージシステムです
    • AWS Key Management Service - 暗号鍵を簡単に作成・管理できるサービスです
    • AWS Secrets Manager - アプリケーション、サービス、IT リソースへのアクセスを保護するためのシークレット管理サービスです

応用暗号化とツール​

  • 高度な暗号化トピック

    • Post-quantum cryptography - 量子コンピュータによる暗号解析攻撃に対して安全であると考えられている暗号化アルゴリズムです
    • 情報隠蔽
      • Steganography - ファイル、メッセージ、画像、またはビデオを別のファイル、メッセージ、画像、またはビデオ内に隠す実践です
      • Digital watermarking - オーディオ、ビデオ、画像データなどのノイズに耐性のある信号に密かに埋め込まれたマーカーの一種です

  • エンドツーエンド暗号化ツール

    • age - シンプルで最新で安全なファイル暗号化ツール、フォーマット、Go ライブラリです
    • Pretty Good Privacy (PGP) - データ通信の暗号化プライバシーと認証を提供するデータ暗号化・復号化コンピュータプログラムです
    • OpenPGP - 公開鍵と暗号化されたメッセージを交換するための非所有プロトコルです
    • keys.openpgp.org - OpenPGP 用の公開鍵サーバーです
    • GnuPG - PGP 暗号化ソフトウェアスイートの無料ソフトウェア置き換えです
    • Gpg4win - OpenPGP の助けを借りてメールとファイルの安全な転送を容易にする Windows ソフトウェアパッケージです

  • 暗号化ライブラリ

    • PyCryptodome - 暗号化プリミティブの自己完結した Python パッケージです
    • Python cryptography - 暗号化プリミティブとレシピを Python 開発者に公開するために設計されたパッケージです
    • Go Cryptography - Go 暗号化ライブラリのコレクションです
    • Botan - C++ で書かれた暗号化ライブラリです

アイデンティティとアクセス管理（IAM）​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.2 セキュリティ技術 > セキュア設計・開発・構築
  • 2. データ整備・活用 > 2.3 データマネジメント > データの品質・安全性向上

統合 IAM​

  • Identity management - エンタープライズ内の適切な人々が技術リソースへの適切なアクセスを持つようにするためのポリシーとテクノロジーのフレームワークです
  • セルフホスト IAM プラットフォーム
    • FusionAuth CE - FusionAuth のセルフホスト型コミュニティサポート版です
    • KeyCloak - オープンソースのアイデンティティとアクセス管理ソリューションです
    • FreeIPA - Linux、389 Directory Server、MIT Kerberos、NTP、DNS、認証システムを組み合わせた統合セキュリティ情報管理ソリューションです
  • クラウド IAM サービス
    • Microsoft Entra ID - クラウドベースのアイデンティティとアクセス管理サービスです
    • AWS IAM - AWS リソースへのアクセスを安全に制御するのに役立つサービスです
    • Amazon Cognito - Web およびモバイルアプリにユーザーサインアップ、サインイン、アクセス制御を追加できるサービスです
    • Auth0 - アプリケーションに認証・認可サービスを追加するための柔軟で組み込みが簡単なソリューションです
  • Directory service - ネットワークリソースの名前をそれぞれのネットワークアドレスにマッピングするサービスです
    • LDAP - 分散ディレクトリ情報サービスにアクセスし、保守するためのオープンで独立したベンダー中立のインダストリスタンダード応用プロトコルです
    • OpenLDAP - Lightweight Directory Access Protocol のオープンソース実装です
    • 389 Directory Server - Linux システム用に Red Hat によって開発された無料でオープンソースのソフトウェアプロジェクトです
  • 仕様

認証（AuthN）​

  • Authentication - コンピュータシステムユーザーのアイデンティティなど、アサーションを証明する行為です
  • Mutual authentication - 通信リンク内の両者が互いに認証するプロセスです
  • Multi-factor authentication (MFA) - アクセスのために複数の検証方法を必要とする方法です
  • 3-D Secure - オンラインクレジットカードと デビットカード取引のための追加のセキュリティレイヤーであるように設計されたセキュリティプロトコルです
  • Single sign-on (SSO) - 複数のアプリケーションに対して 1 回のログインを許可するサービスです
  • プロトコルと標準
    • OpenID Connect - OAuth 2.0 プロトコルの上にシンプルなアイデンティティレイヤーです
    • SAML - ユーザーをアプリケーションにログインさせるための標準です
    • WS-Federation - 参加している Web サービス間の信頼を仲介し、アイデンティティ、属性、認証を管理するためのメカニズムを定義する仕様です
    • FIDO2 (WebAuthn、CTAP、Passkeys) - ユーザーが一般的なデバイスを利用して、オンラインサービスに簡単かつ安全に認証することを可能にする仕様のセットです
      • 依存当事者 - ユーザーのアイデンティティを検証したい Web サイトまたはオンラインサービス（例：お客様の銀行の Web サイト）です
      • 認証器 - 暗号鍵を安全に保存し、ユーザーの認証を実行するデバイスまたはソフトウェアです
      • クライアント - ユーザーのデバイス上のソフトウェア（通常は Web ブラウザーまたはオペレーティングシステムコンポーネント）で、依存当事者と認証器の間を通信します
      • WebAuthn - 公開鍵認証情報にアクセスするための API です
      • CTAP - 外部認証器がクライアントプラットフォームと通信することを可能にするプロトコルです
      • Passkeys - パスワードのためのフィッシング耐性置き換えです
    • SPIFFE - Secure Production Identity Framework for Everyone です
    • Kerberos - チケットの概念に基づいて動作するコンピュータネットワーク認証プロトコルです
    • SSPI (Security Support Provider Interface) - アプリケーションがセキュリティシステムへのインターフェースを変更することなく、コンピュータまたはネットワークで利用可能なさまざまなセキュリティモデルを使用できるようにする Win32 API です
  • 認証情報とトークン
    • Basic authentication - HTTP ユーザーエージェントがリクエストを行う際にユーザー名とパスワードを提供する方法です
    • JSON Web Token (JWT) - オプションの署名およびまたはオプションの暗号化を持つデータを作成するためのインターネット標準で、ペイロードはいくつかの主張を主張する JSON を保持します
    • TOTP (Time-Based One-Time Password) - コンピュータシステムへのアクセスを認証するために使用される、アルゴリズムによって生成された一時的なパスコードです
    • AWS Signature Version 4 (SigV4) - HTTP で送信された AWS API リクエストに認証情報を追加するプロセスです
  • プラットフォームとツール
    • Dex - フェデレーション OpenID Connect プロバイダーです
    • Firebase Authentication - ユーザーをアプリに認証するためのバックエンドサービス、使いやすい SDK、既成の UI ライブラリを提供するサービスです
    • Supabase Auth - Supabase プロジェクトのユーザー管理とアクセス制御を提供するサービスです
    • ReCAPTCHA - Web ホストが人間とコンピュータによる自動アクセスを Web サイトに区別できるようにする CAPTCHA システムです
    • Microsoft Authentication Library (MSAL) - 開発者が認証・認可をアプリケーションに統合するのに役立つライブラリです
    • Application Default Credentials (ADC) - Google Cloud クライアントライブラリがアプリケーション環境に基づいて認証情報を自動的に見つけるために使用するメカニズムです
    • Limen - Go 用の軽量でコンポーザブルな認証・認可ライブラリで、セッション、パスワードハッシング、OAuth、CSRF 保護を提供します

認可（AuthZ）​

  • Authorization - リソースへのアクセス権・特権を指定する機能です
  • アクセス制御モデル
    • Access control list (ACL) - システムリソースに関連する権限のリストです
    • Attribute-based access control (ABAC) - ユーザー属性に基づいてアクセスを許可するモデルです
    • Discretionary access control (DAC) - ユーザーが自分のリソースへのアクセスを制御することを可能にするモデルです
    • Mandatory access control (MAC) - セキュリティラベルに基づいてアクセスポリシーを適用するモデルです
    • Role-based access control (RBAC) - 役割と特権の周りに定義されたポリシー中立的なアクセス制御メカニズムです
      • Azure RBAC - Azure リソースのきめ細かいアクセス管理を可能にするシステムです
        • セキュリティプリンシパルの種類：ユーザー、グループ、サービスプリンシパル、マネージド ID
      • Entra ID RBAC - Microsoft Entra リソースのきめ細かいアクセス管理を提供するシステムです
  • プロトコルと標準
    • OAuth 2.0 Authorization Framework - アクセスデリゲーションのためのオープンスタンダードです
      • リソース所有者 - アクセスされているデータまたはリソースを所有するユーザーです
      • リソースサーバー - 保護されたリソースをホストするサーバーです
      • クライアント - リソース所有者に代わってリソースにアクセスしたいアプリケーションまたはサービスです
      • 認可サーバー - クライアントにアクセストークンを発行するサーバーです
  • プラットフォームとツール
    • Permify - Golang API を使用してあらゆる種類の認可システムを作成するのに役立つオープンソース認可サービスです
    • Azure Shared Access Signature (SAS) - 1 つ以上のストレージリソースを指し、アクセスの権限とインターバルを指定するトークンを含む署名付き URI です

セキュアな開発ライフサイクル（DevSecOps）​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.2 セキュリティ技術 > セキュア設計・開発・構築

セキュアな設計とモデリング​

  • Threat modeling - 潜在的な脅威を識別、列挙、優先順位付けできる仮想の攻撃者の観点からのプロセスです
  • OWASP Threat Modeling - OWASP セキュリティカルチャープロジェクトの開発ライフサイクルへの脅威モデリング統合に関するガイダンスです
  • STRIDE model - コンピュータセキュリティ脅威を 6 つのカテゴリに分類するニーモニックです
  • MITRE ATT&CK - 敵の戦術と技法のグローバルアクセス可能なナレッジベースです
    • 戦術：攻撃中に敵が達成することを目指す高レベルの目標または目的です
    • 技法：敵が戦術的目標を達成するための特定のメソッドまたは方法です
    • 手順：敵が操作で利用する技法の特定の実装またはバリエーションです
  • モデリングツール
    • OWASP Threat Dragon - 無料でオープンソースのクロスプラットフォーム脅威モデリングアプリケーションです
    • threatspec - 脅威モデルをコードとして定義できるツールです

セキュアな開発実践​

  • Secure Software Development Framework (SSDF) - 基本的で健全でセキュアなソフトウェア開発実践のセットです
  • Microsoft Security Development Lifecycle (SDL) - 開発者がより安全なソフトウェアを構築し、セキュリティコンプライアンス要件に対応しながら開発コストを削減するのに役立つソフトウェア開発プロセスです
  • OWASP Application Security Verification Standard (ASVS) - アプリケーションレベルのセキュリティ検証を実行するための標準です
  • OWASP Security Champions - 開発チーム内にセキュリティの専門知識とカルチャーを組み込むためのプログラムです
  • OWASP Cheat Sheet Series - さまざまなセキュリティトピックに関する簡潔なチートシートのコレクションです
  • OWASP LLM Top 10 - 開発、デプロイ、管理ライフサイクル全体にわたり、生成 AI と大規模言語モデルアプリケーションの開発とセキュリティに関する上位 10 のリスク、脆弱性、軽減策のガイドです
  • コーディング標準
    • MISRA C - 安全クリティカル組み込みシステム（元々自動車産業向けに開発）における C プログラミング言語の使用に関するガイドラインのセットです
    • CERT Secure Coding Standards - Carnegie Mellon の CERT によって発行された C、C++、Java、Perl その他の言語のプログラミングセキュリティガイドラインのコレクションです

Web アプリケーションセキュリティ​

  • セキュリティメカニズムとポリシー
    • SOP (Same-origin policy) - Web アプリケーションセキュリティモデルにおける重要な概念です
    • CORS (Cross-Origin Resource Sharing) - Web ページ上の制限されたリソースを別のドメインからリクエストできるようにするメカニズムです
    • CSP (Content Security Policy) - クロスサイトスクリプティング（XSS）およびデータインジェクション攻撃を含む特定の種類の攻撃を検出・軽減するのに役立つセキュリティの追加レイヤーです
    • HSTS (HTTP Strict Transport Security) - プロトコルダウングレード攻撃と Cookie ハイジャックから Web サイトを保護するのに役立つ Web セキュリティポリシーメカニズムです
    • Cross-origin isolation - Web ページが SharedArrayBuffer と performance.measureUserAgentSpecificMemory()などの強力な機能を使用できるようにする Web セキュリティ機能です
  • 一般的な脆弱性と攻撃
    • Cross-site request forgery (CSRF) - Web アプリケーションが信頼するユーザーから不正なコマンドが送信される Web サイトの悪意あるエクスプロイトです
    • Cross-site scripting (XSS) - 通常は Web アプリケーションで見られるセキュリティ脆弱性のタイプです
    • DNS rebinding - 悪意のある Web ページが Domain Name System を悪用することで、同一生成元ポリシーをバイパスできる攻撃のタイプです
    • SSRF (Server-side request forgery) - 攻撃者がサーバー上の機能を悪用して、内部リソースを読み取り・変更できるエクスプロイトのタイプです
  • プライバシーと透明性
    • Privacy sandbox - ユーザーのプライバシーを保護し、企業と開発者に栄える デジタルビジネスを構築するためのツールを提供する Google のイニシアティブです
    • security.txt - Web サイトがセキュリティ研究者のためのセキュリティポリシーを定義できるようにする提案された標準です

アプリケーションセキュリティテスト（AST）​

  • 統合セキュリティプラットフォーム
    • GitHub Advanced Security - シークレット保護でリークを開始する前に停止し、コードセキュリティでコード内の脆弱性を修正する、開発速度で移動するセキュリティを提供する Suite です
  • 静的解析（SAST）
    • SonarQube Server - 自動コードレビューツールで、クリーンコード配信を体系的にサポートします
    • GitLab SAST - ソースコードの既知の脆弱性をチェックするツールです
    • Bandit (Python の場合) - Python コード内の一般的なセキュリティの問題を見つけるために設計されたツールです
    • Semgrep OSS - バグを見つけ、コード標準を強制するための高速でオープンソース、静的解析ツールです
    • Fluid attacks - ソースコード、コンテナ、依存関係の脆弱性を見つけることができるセキュリティツールです
    • CodeQL - コードをデータのようにクエリして脆弱性とそのバリエーションを見つけることができるセマンティックコード解析エンジンです
  • 動的解析（DAST）
    • ZAP - 世界中で最も広く使用されている Web アプリスキャナーで、無料でオープンソースであり、誰もが貢献できるコミュニティベースの GitHub Top 1000 プロジェクトです
    • Nuclei - グローバルセキュリティコミュニティによって駆動され、シンプルな YAML ベースの DSL に基づいて構築された高速でカスタマイズ可能な脆弱性スキャナーです
    • sqlmap - SQL インジェクションの欠陥を検出・悪用し、データベースサーバーを引き継ぐプロセスを自動化するオープンソースペネトレーションテストツールです
  • シークレット検出
    • GitLab Secret Detection - リポジトリ履歴でシークレットをスキャンするツールです
    • Gitleaks - git リポジトリ内のパスワード、api キー、トークンなどの硬いシークレットを検出・防止する SAST ツールです
    • secretlint - 認証情報のコミットを防止するためのプラグイン可能なリントツールです
    • Talisman - 機密情報またはセンシティブ情報がコミットされないようにリポジトリにフックをインストールするツールです
    • TruffleHog - 環境をスキャンしてシークレットを発掘し、コミット履歴とブランチに深く掘り下げるツールです
    • Whispers - ハードコードされた認証情報の検索で、さまざまな一般的なデータ形式を解析するために設計された静的コード解析ツールです
  • AI オーケストレーション型ペネトレーションテスト
    • PentestGPT - 大規模言語モデル（LLM）によって駆動される自動ペネトレーションテストフレームワークです
    • PentAGI - 自動セキュリティテスト用に設計された完全に自律的な AI エージェントシステムです
    • Strix - 実際のハッカーのように動作する自律型 AI エージェントのセットで、コードを動的に実行し、脆弱性を見つけ、実際の概念実証を通じて検証します
    • CAI - セキュリティプロフェッショナルが AI による攻撃・防御自動化を構築・デプロイできるようにする軽量でオープンソースのフレームワークです
    • HexStrike AI - AI エージェントが自律的に 150 以上のサイバーセキュリティツールを実行して、自動ペネトレーション、脆弱性発見、バグ報奨自動化、セキュリティ研究を行うことができる高度な MCP サーバーです
    • Zen AI Pentest - 最先端の言語モデルとプロフェッショナルセキュリティツールを組み合わせた自律的な AI 駆動型ペネトレーションテストフレームワークです
    • Project Glasswing - 防御的なサイバーセキュリティのための Anthropic の Claude Mythos Preview モデルへのアクセスを提供するイニシアティブで、重要なソフトウェアインフラストラクチャの脆弱性を自律的に発見できます

インフラストラクチャアズコード（IaC）セキュリティ​

  • Trivy - 包括的で汎用のセキュリティスキャナーです
  • Defender for Cloud CLI - CI/CD パイプライン内のセキュリティスキャンをオーケストレーションし、結果を Microsoft Defender for Cloud にアップロードして姿勢管理と優先順位付けを行う開発者ファーストコマンドラインツールです
  • checkov - インフラストラクチャアズコード（IaC）ファイルの設定ミスをスキャンするための静的コード解析ツールです
  • Haskell Dockerfile Linter - ベストプラクティスの Docker イメージを構築するのに役立つスマート Dockerfile linter です
  • kube-score - Kubernetes オブジェクト定義の静的コード解析を実行するツールです
  • kubesec - Kubernetes リソースのセキュリティリスク解析です
  • PSRule - インフラストラクチャアズコード（IaC）をテストおよび検証するコマンドを含む クロスプラットフォーム PowerShell モジュールです
    • PSRule for Azure - PSRule を使用して Azure リソースとインフラストラクチャアズコード（IaC）を検証するルールのスイートです
  • ComplianceAsCode - SCAP、Bash、Ansible などのさまざまな形式でセキュリティ自動化コンテンツを提供するプロジェクトです
  • complyctl - OSCAL を使用してコンプライアンス評価活動を合理化するコマンドラインツールです

ソフトウェアサプライチェーンセキュリティ（SSCS）​

  • コンポジション解析（SCA）
    • SBOM 生成
      • Syft - コンテナイメージとファイルシステムからソフトウェア部品表（SBOM）を生成するための CLI ツールおよび Go ライブラリです
      • OWASP CycloneDX format - アプリケーションセキュリティコンテキストでの使用を目的とした軽量ソフトウェア部品表（SBOM）標準です
      • SPDX format - ソフトウェア部品表（SBOM）情報を通信するためのオープンスタンダードです
    • 脆弱性スキャン
      • Grype - コンテナイメージとファイルシステムの脆弱性スキャナーです
      • OSV-scanner - OSV の公式脆弱性スキャナーです
      • Safety - インストール済みの依存関係の既知のセキュリティ脆弱性をチェックするツールです
      • Clair - アプリケーションコンテナの脆弱性の静的解析のためのオープンソースプロジェクトです
      • GitLab Container Scanning - Docker イメージの既知の脆弱性をチェックするツールです
      • JFrog Xray - ソフトウェアサプライチェーン全体にわたり脆弱性とライセンスコンプライアンスの問題を識別するアプリケーションセキュリティツールです
    • ライセンスと依存関係解析
      • Feluda - Python プロジェクトの高速依存関係グラフジェネレーターです
    • 自動化された依存関係更新
      • Dependabot Core - Dependabot セキュリティ・バージョン更新の中心となるライブラリです
  • フレームワークとアセスメント
    • SLSA framework - タンパリング防止、整合性向上、パッケージとインフラストラクチャのセキュリティを目指す標準とコントロールのセキュリティフレームワークです
    • in-toto - ソフトウェアサプライチェーン整合性を保護するためのフレームワークです
    • OpenSSF Scorecard - ソフトウェアセキュリティと関連する多数の重要な ヒューリスティック（「チェック」）を評価し、各チェックに 0～10 のスコアを割り当てる自動ツールです
  • プロヴェナンスとアーティファクトメタデータ
    • GUAC - ソフトウェアセキュリティメタデータを高忠実度グラフデータベースに集約するオープンソースツールです
  • セキュアな配布と更新
    • The Update Framework (TUF) - ソフトウェア更新システムを保護するためのフレームワークで、リポジトリまたは署名鍵を侵害する攻撃者に対する保護も提供します
  • コード署名と整合性
    • Sigstore (Fulcio、Rekor、Cosign) - ソフトウェアの署名、検証、保護のための新しい標準です
  • 注目すべき攻撃
    • Shai-Hulud npm Supply Chain Attack - post-install スクリプトを使用してセンシティブデータを収穫し、到達可能なパッケージの悪意あるバージョンを自動的に公開してさらに拡散する自己伝播型ワームです

ランタイムと運用セキュリティ​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.1 セキュリティマネジメント > インシデント対応と事業継続
  • 4. セキュリティ > 4.2 セキュリティ技術 > セキュリティ運用・保守・監視

クラウドネイティブアプリケーション保護（CNAPP）​

  • The 4 Cs of Cloud-Native Systems - クラウドネイティブアプリケーションの多層保護を提供するために、セキュリティ戦略を 4 つの異なるレイヤーに分割する多層防御アプローチです
  • Microsoft Defender for Cloud - クラウドベースのアプリケーションを保護するために設計されたセキュリティ対策とプラクティスのセットを備えたクラウドネイティブアプリケーション保護プラットフォーム（CNAPP）です
  • クラウドセキュリティ姿勢管理（CSPM）
    • AWS Security Hub - セキュリティベストプラクティスチェックを実行し、アラートを集約し、自動修復を可能にするクラウドセキュリティ姿勢管理（CSPM）サービスです
    • cnquery - インフラストラクチャ全体をデータとしてクエリできるクラウドネイティブのグラフベースセキュリティツールです
  • クラウドワークロード保護プラットフォーム（CWPP）
    • Amazon Inspector - AWS にデプロイされたアプリケーションのセキュリティとコンプライアンスを向上させるのに役立つ自動化されたセキュリティ評価サービスです
    • Falco - クラウドネイティブランタイムセキュリティプロジェクトです
    • Tracee - Linux のための強力なランタイムセキュリティとフォレンジックスツールです
    • ClamAV - トロイの木馬、ウイルス、マルウェア、その他の悪意のある脅威を検出するためのオープンソースアンチウイルスエンジンです
    • YARA - マルウェア研究者のためのパターンマッチングスイスアーミーナイフです

セキュリティ運用と監視（SecOps）​

  • 検出と対応
  • SIEM と SOAR
    • Security orchestration, automation and response (SOAR) - 組織がセキュリティ脅威に関するデータを収集できるようにする互換性のあるソフトウェアプログラムのスタックです
    • Microsoft Sentinel - スケーラブルで、クラウドネイティブで、セキュリティ情報イベント管理（SIEM）およびセキュリティオーケストレーション自動化応答（SOAR）ソリューションです
    • Amazon GuardDuty - 悪意のある活動と不正な行動を継続的に監視する脅威検出サービスです
  • 検出と監査
    • Sigma Detection Format - 関連するログイベントを簡潔に記述できる汎用でオープンな署名フォーマットです
    • AWS CloudTrail - AWS アカウントの運用およびリスク監査、ガバナンス、コンプライアンスを有効にするのに役立つ AWS サービスです
    • AWS Config - AWS リソースの構成を評価、監査、確認できるサービスです

ポリシー適用​

  • Open Policy Agent (OPA) - スタック全体のポリシー適用を統一するオープンソース汎用ポリシーエンジンです
    • Rego - OPA のポリシーを作成するために使用される高レベル宣言型言語です
    • Conftest - 構造化された構成データに対してテストを書くのに役立つユーティリティです
  • クラウドポリシーエンジン
    • Azure Policy - リソースガバナンスと一貫性を備えたリアルタイムでクラウドコンプライアンスを実現するサービスです
  • Kubernetes ポリシーエンジン
    • Gatekeeper - Open Policy Agent（OPA）によって実行されるポリシーを強制する、カスタマイズ可能な検証 webhook です
    • Kyverno - Kubernetes 用に設計されたポリシーエンジンです

デジタルフォレンジックスとインシデント対応（DFIR）​

  • 概念
    • Computer security incident management - コンピュータまたはコンピュータネットワーク上のセキュリティイベントの監視と検出、およびそれらのイベントへの適切な対応の実行です
    • Digital forensics - モバイルデバイスとコンピュータ犯罪に関連することが多い、デジタルデバイスで見つかった物質の回復、調査、検査、分析を含むフォレンジック科学の一分野です
    • Computer forensics - コンピュータおよびデジタルストレージメディアで見つかった証拠に関連するデジタルフォレンジック科学の一分野です
  • ツールとプラットフォーム
    • Volatility - 揮発性メモリ（RAM）サンプルからデジタル成果物を抽出するための世界で最も広く使用されているフレームワークです
    • Autopsy - The Sleuth Kit およびその他のデジタルフォレンジックスツールのデジタルフォレンジックスプラットフォームおよびグラフィカルインターフェースです

セキュアな通信とネットワーキング​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.2 セキュリティ技術 > セキュア設計・開発・構築

トランスポート層セキュリティ（TLS）​

  • Transport Layer Security (TLS) - コンピュータネットワーク上の通信セキュリティを提供するために設計された暗号プロトコルです
  • Server Name Indication (SNI) - Transport Layer Security（TLS）コンピュータネットワーキングプロトコルへの拡張です
  • ツールとライブラリ
    • testssl.sh - サーバーのサービスがポートで TLS/SSL 暗号とプロトコルのサポートをチェックする無料コマンドラインツールです
    • OpenSSL library - ネットワーク盗聴に対するコンピュータネットワーク上のセキュアな通信のためのアプリケーション用ソフトウェアライブラリです
    • stunnnel - 既存のクライアントとサーバーに TLS 暗号化機能を追加するように設計されたプロキシです
    • Squid SSL Bump - Squid プロキシの機能で、SSL/TLS トラフィックを傍受、復号化、再暗号化します
  • 脆弱性
    • Lucky Thirteen attack - TLS プロトコルに対するタイミング攻撃で、攻撃者が暗号文を復号化できます

セキュアシェル（SSH）​

  • Secure Shell (SSH) - セキュリティで保護されていないネットワーク上でネットワークサービスを安全に運用するための暗号化ネットワークプロトコルです
  • ツールとライブラリ
    • OpenSSH - SSH プロトコルでリモートログインするための随一の接続ツールです
    • PuTTY - Windows および Unix プラットフォーム用の SSH と Telnet の無料実装です
    • ssh-audit - SSH サーバーとクライアントの構成監査用ツールです
    • keychain - 通常は ~/.bash_profile から開始される ssh-agent マネージャーです

ファイアウォールとネットワーク保護​

  • Web アプリケーションファイアウォール（WAF）
    • AWS WAF - Web アプリケーションまたは API を一般的な Web エクスプロイトと bot から保護するのに役立つ Web アプリケーションファイアウォールです
    • Azure Web Application Firewall - 一般的な Web ハッキング技法と脆弱性から Web アプリを保護するクラウドネイティブサービスです
  • ネットワークレベルの保護
    • AWS Shield - AWS 上で実行されているアプリケーションを保護する分散サービス拒否（DDoS）保護サービスです
    • Azure DDoS Protection - 最も洗練された DDoS の脅威に対する対策を提供するサービスです
    • Fail2ban - コンピュータサーバーをブルートフォース攻撃から保護する侵入防止ソフトウェアフレームワークです
    • Snort (IPS) - 世界中で最初のオープンソース侵入防止システム（IPS）です
  • ホストベースのファイアウォール
    • netfilter (iptables、nftables) - パケットフィルタリング、ネットワークアドレス変換、およびその他のパケット操作を可能にする Linux カーネル内フレームワークです
    • Uncomplicated Firewall (ufw) - netfilter ファイアウォールを管理するためのプログラムです

メールと DNS セキュリティ​

  • メールセキュリティ
    • STARTTLS - プレーンテキスト通信プロトコルが暗号化接続にアップグレードできるようにするメカニズムです
    • SASL (Simple Authentication and Security Layer) - インターネットプロトコルの認証とデータセキュリティのためのフレームワークです
    • SPF (Sender Policy Framework) - メール配信中に送信者アドレスの偽装を検出するように設計されたメール認証方法です
    • DKIM (DomainKeys Identified Mail) - メール内の偽造送信者アドレスを検出するように設計されたメール認証方法です
    • DMARC (Domain-based Message Authentication, Reporting & Conformance) - メール認証、ポリシー、レポート プロトコルです
    • S/MIME - 認証、メッセージ整合性、否認防止、プライバシー、電子メッセージングアプリケーション用データセキュリティなどの暗号セキュリティサービスを提供する標準です
  • DNS セキュリティ
    • DNSSEC - ドメイン名ルックアップへの応答を認証する Domain Name System（DNS）の機能です
    • DNS over TLS (DoT) - Transport Layer Security（TLS）プロトコルを介して Domain Name System（DNS）クエリと回答を暗号化する security protocol です
    • DNS over HTTPS (DoH) - HTTPS プロトコルを介してリモート Domain Name System（DNS）解決を実行するプロトコルです
  • ツールとライブラリ
    • OpenDKIM - DomainKeys Identified Mail 対応アプリケーションおよび DomainKeys Identified Mail サービスを提供するための milter を開発・保守するコミュニティの取り組みです

ガバナンス、リスク、コンプライアンス（GRC）​

Relevant DSS-P Skills
  • 1. ビジネス変革 > 1.3 変革活動のマネジメント > リスク＆コンプライアンス
  • 4. セキュリティ > 4.1 セキュリティマネジメント > セキュリティマネジメント
  • 4. セキュリティ > 4.1 セキュリティマネジメント > プライバシー保護

データガバナンス​

  • Unity Catalog - さまざまなフォーマットとプラットフォーム全体での相互運用性、開放性、統一ガバナンスを提供するデータと AI のための普遍的なカタログです
  • Microsoft Purview - 異種データエステート全体で組織がデータを保護・管理するための統合的アプローチです
  • Amazon DataZone - 顧客が AWS、オンプレミス、サードパーティのソースに保存されているデータをカタログ化、検出、共有、管理できるデータ管理サービスです

AI ガバナンスとセキュリティ​

  • ISO/IEC 42001 - 組織内の人工知能管理システム（AIMS）を確立、実装、保守、継続的に改善するための要件を規定する世界初の AI 管理システム標準です
  • METR - AI システムが社会に壊滅的な害をもたらす可能性があるかどうか、いつか測定する研究非営利団体です
  • Microsoft Agent 365 - エンタープライズ環境内での自律 AI エージェントを監督・管理するための一元化されたガバナンスおよび管理プラットフォームです

規制と標準​

  • 法律と規制
    • General Data Protection Regulation (GDPR) - 世界で最も厳しいプライバシーおよびセキュリティ法です
      • データ主体の要求（DSR）
      • 違反通知
      • データ保護影響評価（DPIA）
    • California Consumer Privacy Act (CCPA) - カリフォルニア州の住民のプライバシー権と消費者保護を向上させることを目的とした州法です
    • Cyber Resilience Act - デジタルコンポーネントを持つ製品またはソフトウェアの購入・使用を行う消費者と企業を保護し、強制的なサイバーセキュリティ要件を導入する規制です
  • セキュリティとプライバシーフレームワーク
    • NIST SP 800-53 - 国家安全保障に関連するもの以外のすべての U.S. 連邦情報システムのセキュリティ・プライバシーコントロールのカタログです
    • OSCAL - セキュリティコンプライアンスプロセスを自動化するために、NIST が主導するオープンで機械可読形式（XML、JSON、YAML）を提供する Open Security Controls Assessment Language です
    • ISO/IEC 27001 - 情報セキュリティ管理システムの国際標準です
  • 業界と監査標準
    • PCI-DSS - ペイメントカードデータセキュリティのためのグローバル標準です
    • SOC 2 - 組織が顧客データを管理する方法を規定するサービス組織のための任意のコンプライアンス標準です
    • FIPS 140-2 - 暗号化モジュールを承認するために使用される米国政府コンピュータセキュリティ標準です
  • 強化とガイドの実装
    • Security Technical Implementation Guides (STIGs) - DOD IA および IA 対応デバイス/システムの構成標準です
    • CIS Controls and Benchmarks - コンピュータセキュリティのための最善実行ガイドラインの出版です
    • NIST SP 800-190 - アプリケーションコンテナセキュリティガイドで、コンテナの使用に関連する潜在的なセキュリティ上の懸念を説明し、それらに対処するための推奨事項を提供しています

脆弱性管理とレポート​

システムとパーソナルセキュリティ​

Relevant DSS-P Skills
  • 4. セキュリティ > 4.1 セキュリティマネジメント > セキュリティ体制構築・運営
  • 4. セキュリティ > 4.2 セキュリティ技術 > セキュア設計・開発・構築

OS とエンドポイントセキュリティ​

  • Address space layout randomization (ASLR) - メモリ脆弱性の悪用を防止するために、プロセスのアドレス空間の主要なデータ領域の位置をランダムに配置することで、メモリ保護に関連するコンピュータセキュリティ技術です
  • W^X - プロセスのアドレス空間内のすべてのページが書き込み可能または実行可能である（ただし両方ではない）ことを保証するセキュリティ機能です
  • Control-flow integrity - プログラムの実行フローをリダイレクトするマルウェア攻撃の多くを防止するコンピュータセキュリティ技術の一般用語です
  • TPM (Trusted Platform Module) - 統合暗号鍵を通じてハードウェアをセキュアに保つために設計された専用マイクロコントローラーである、セキュアな暗号プロセッサーの仕様です
  • Linux 強制アクセス制御
    • SELinux - さまざまな Linux ディストリビューションに追加されているカーネル変更とユーザースペースツールのセットです
    • AppArmor - プログラムパー・プログラムプロファイルでプログラムの機能を制限することをシステム管理者に許可する Linux カーネルセキュリティモジュールです
    • bubblewrap - Flatpak およびそれに似たプロジェクトで使用される低レベルの非特権サンドボックスツールです
  • Linux 微粒度アクセス制御
    • Linux capabilities - スーパーユーザーの権限の一部をプロセスに付与するが、すべてを付与しない機能です
  • 一般的なスキャン
    • OpenSCAP - Security Content Automation Protocol（SCAP）のオープンソース実装です
    • Lynis - Linux、macOS、または Unix ベースのオペレーティングシステムで実行されるシステムのセキュリティ監査ツールです

パーソナルセキュリティツール​

  • パスワードマネージャー
    • 1Password - 人間と AI エージェント全体にわたり、アイデンティティ、認証情報、シークレットの password manager および secure vault プラットフォームです
    • pass - 標準 unix password manager です
    • gokey - Go の簡単な vault なし password manager です
    • Buttercup - 無料でオープンソースでクロスプラットフォームの password manager です