「ペネトレーションテストの教科書」を読む。
先日本書で扱われるようなペネトレーションテストの実習研修を受けたので、個人的な振り返りとしても読んでみた。面白く読めたが、かなり実務的なので、手を動かすセキュリティエンジニア的な肩書きのある人でないと若干読むのが難しいかも。
個人的には、読んでて固有名詞を除いては全く未知の単語は無かったと思うが、用語自体やOS・ネットワークの基礎知識だったり、なぜこのような脆弱性が発生していて防御する必要があるのかみたいな背景知識の解説がないので初心者向きではない。扱われる言語もPHPやxml、WordpressやFortinet機器だったりと必ずしもIT企業全般で使われているとも限らないので「読んでは見たけど現場で活かしづらい」みたいな人もいると思う。というか自分がそうだったのだが。本書で紹介されるコードやコマンドもサポートサイトでダウンロード出来るという状態でもないので、読みながら環境構築してコマンドを実行してみる、というような検証も正直しづらい。特に厳しかったのがヤバいCVEを直接扱った「既知の脆弱性の悪用」の章で、ヤバさは伝わるのだがいきなり脆弱性の攻め方の解説となるので置いていかれる感があった。
さらに、索引がないので読み終わった後に用語の検索が出来ず、本としての体裁も良いとは言えない。
ただ、本書の魅力は無味乾燥な教科書的な筆致でなく、著者の想いとか好みが込められてるのがエモいと言える。実際にペネとレーションテストを現場でやっていた人間ならではの、限られた時間やリソースの中で効率的な診断するためのノウハウが詰まっている感じ。
kali linux自体触ったこともなかったのでとりあえず使ってみたり、nmapやrconfigやhydraやsqlmapなどさまざまな便利ツールや脆弱性診断サイトなどは本書を読んで触ってみたり自社の脆弱性を診断してみたりして、勉強になった。業界的にはかなり若いエンジニアの著者なのでこれからも応援・ウォッチしていきたい。
