リスク要件リファレンスモデルドキュメント集
内閣官房情報セキュリティセンター（NISC）から「各専門分野情報共有スキームの連携性及び情報交換モデルに関する検討」の成果としてリスク要件リファレンスモデルに関する報告書が出ています。
これら報告書は先月公開されたようですが、私は昨日参加したイベントで初めて知りました。報告書はまだ一部しか読んでませんが興味深い取り組みだと思います。
Black Hat USA, Defcon
来週からBlack Hat USA 2010とDefcon 18が開催されます。
Defconに参加したのはもう5年も前なんですね。最近は気になるセッションがあれば、Media Archiveをチェックするくらいです。
Nmapは新しいNSE scriptsが追加されるなど機能拡張されたDefcon特別バージョンが出ているみたいです。
- Nmap Defcon Release: Version 5.35DC1 (Nmap Hackers)
Qualys acquires SSL Labs
ちょっと前の話ですが、以前Public SSL Server Databaseで紹介したSSL LabsがQualysに買収されたそうです。
Netsparker Community Edition
NetsparkerというWebアプリケーション脆弱性スキャナがCommunity Editionという無料版を出したみたいなので、暇があればさわってみようと思いつつ手が出ずに放置になっています。
試用した方がメモを載せていますが、結構おもしろそう。
チドリ夜桜花見会2010
昨日、夜桜花見会は無事終了しました。まだ5分咲きくらいだったですけどきれいでした。
早速、参加レポートがあがってます。
- チームチドリの花見に行ってきました (bogus.jp)
skipfish
Google製のActive Webアプリケーションスキャナ。コマンドラインのスキャナだが、自動的にクロールしてSQLインジェクションやXSSを検知できるそうだ。Cで書かれているから高速だとか、使い方が簡単とかの特徴がある。
手元のCentOSでコンパイルしてみたところ、それほど手間がかからずバイナリができた。*1
試しに以下のようなオプションを付けて、DVWAに対してスキャンしてみた。
./skipfish -o dvwa -W dictionaries/default.wl http://192.168.xx.xx/dvwa/
そうすると、ものすごい早さでクロールとスキャンが走りだしコンソールはこんな感じに。
スキャンが終わるとレポートが出力されるので、ブラウザで表示すると以下の３種類の見方で結果が表示される。
- Crawl results
- Document type overview
- Issue type overview
設定の仕方がまずいのかも知れないが、脆弱性を全部検出することはできなかった。脆弱性を発見したときは、URL毎に"show trace"というボタンが表示され、それを押すとHTTPリクエストとレスポンスが表示されるので、誤検知の判断はしやすいと思う。
*1:動かしたバージョンは1.12b
