【書籍】ハッカー外伝
はじめに
先週の金曜日、ActiveMailがサイバー攻撃を受けたとニュースで見つけました。
そのとき、学生時代にエンジニアの先生が「WordPressのセキュリティの脆弱性を理解するために、実際にハッキングを体験する授業がある」と話していたことを思い出しました。
この出来事をきっかけに、セキュリティやハッキングへの興味が高まり、書籍を読んでみることにしました。
書籍の内容としては
ネットでイジメを受けた主人公が日本のサイバーセキュリティを担当している人にハッキング技術を教わりながらイジメと戦っていく話なのですが、初めはかなりイジメの内容がリアリティに描かれており、読んでいて気分が悪くなったのですが、読み進めていくと、ハッキングの仕方やセキュリティ、パソコンの基礎知識等を初心者にも分かるように書かれていたので、後半はスラスラと読む事が出来ました。
読んでいて、重要だと思った事と、chatGPTで質問した単語を記載して、何かしら仕事で関わる機会があれば読み直します。
至らない点もあるかと思いますが、ご意見・ご感想をいただけると嬉しいです。
重要だと思った事
・脆弱性が発見されてから修正プログラムが提供されるまでの間にハッキングを仕掛けることをゼロデイ攻撃と言います。
・日本国内においては、IPアドレスさえわかれば、その割り当てを受けている人は必ず分かるような制度になっています。
・LINEやSkypeは、それを運用している会社のサーバーにチャットや会話の記録が全て残ることになってしまいます。
極秘の会話や証拠を残さない為にはBitTorrent、プライバシー重視のチャットアプリ「Bleep」がオススメです。
・カーリーリナックスとは、ハッキング専用のOSです。
・MACアドレスとは、PCなどのネットワークに接続する機器それぞれが固有で持っているネットワーク上の基本的な識別番号です。
IPアドレスの方は簡単に変更出来るが、MACアドレスと言うのは中々変更できないようになっている。
・IPアドレスというのはグローバルとローカルの２種類があります。
・コンピュータとネットワークの基本原理や技術について学ばないと、ハッキングなど到底できないみたいです。
・システムは完璧だが、管理する人間が不完全であるためにハッキングされる。多くのシステムで、最大の欠点はそれを管理する人です。
chatGPTで質問した単語
・Torサーバーとは、匿名通信を可能にするネットワーク「Tor（The Onion Router）」の一部を構成するサーバーのことです。
・イーサネットICとは、コンピュータや組み込み機器などが有線LAN（イーサネット）通信を行うための機能を持った**集積回路（IC）**のことです。簡単に言えば、LANケーブルを通じてデータをやり取りするための心臓部です。
・ネサスとは、脆弱性スキャナーの一種です。
ネットワークやサーバーなどにあるセキュリティの弱点（脆弱性）を自動で検出してくれるツールです。
・ダークウェブとは、普通の検索エンジン（Googleなど）ではアクセスできない匿名性の高いWeb空間です。
アクセスには特別なブラウザ（例：Torブラウザ）が必要です。
・VPNゲートとは、筑波大学が研究目的で公開している無料のVPNサービスです。
インターネット上の検閲を回避したり、自分のIPアドレスを隠して通信を安全にしたりするために使われます。
・VPNとは、仮想プライベートネットワークの事です。
ざっくり言うと、インターネット上に、安全でプライベートな“専用回線”を作る技術です。
・VPNサービスとは、VPN機能を誰でも使いやすく提供してくれるサービスのことです。
自分でVPNサーバーを立てなくても、サービス会社が用意してくれたVPNサーバーに接続するだけでOKになります。
・プロキシとは、「代理」という意味です。あなたの代わりに通信を行ってくれる“中継サーバー”のことです。
あなた（PC） → 🔄 プロキシサーバー → 🌍 インターネット
あなたは直接インターネットにアクセスせず、プロキシが間に入って代わりにアクセスしてくれます。
・パケットとは、インターネットなどの通信で使われる、「データの小さなかたまり」のことです。
データをそのまま一気に送るのではなく、
小さく分割して送る「荷物（パケット）」みたいなイメージです。
・WANとは、広域ネットワークの事です。インターネットや、離れた場所同士をつなぐ大きなネットワークのことです。
・マルウェアとは、「コンピュータやスマホに害を与える目的で作られたプログラム」のことです。
・DNSとは、人間が覚えやすい「ドメイン名（例：google.com）」を、コンピュータが理解できる「IPアドレス（例：172.217.4.196）」に変換する仕組みです。
・プロキシサーバーとは、ネットワーク上でクライアントとサーバーの間に立って、通信を仲介するサーバーのことです。
・メールボムとは、大量の電子メールを短時間で送りつける攻撃手法の一つです。この攻撃は、特定の宛先に対して過剰な量のメールを送り、受信者のメールボックスを圧迫し、利用不能にすることを目的としています。
・DOM-based XSS（DOMベースのクロスサイトスクリプティング）とは、クライアントサイド（ブラウザ側）のJavaScriptで動的にHTMLを書き換える処理に、悪意ある入力が混入し、スクリプトが実行されるタイプのXSS脆弱性です。
・XSS脆弱性（Cross-Site Scripting、クロスサイトスクリプティング）とは、悪意のあるスクリプト（主にJavaScript）をWebページに埋め込まれてしまうセキュリティ上の欠陥です。
・スパイウェア（Spyware）とは、ユーザーの行動や個人情報を密かに収集する悪意のあるソフトウェアのことです。
・ホスト名とは、コンピュータやネットワーク機器に割り当てられた「名前」のこと。
例：www、mail、server01など
・ドメイン名とは、ネットワーク（特にインターネット）上での住所のようなもの。
組織やサービス単位で登録・管理される。
例：example.com、google.co.jpなど
・FQDNとは、ホスト名とドメイン名を組み合わせた、ネットワーク上で一意に識別できる完全な名前。
例: www.example.com
- www がホスト名
- example.com がドメイン名
・プロバイダ（ISP: Internet Service Provider）とは？
- インターネット接続をユーザーに提供する会社
・エクスプロイト（exploit）」とは、
システムやソフトウェアの脆弱性（セキュリティの穴）を悪用するプログラムや手法のことです。
・Metasploitは、
脆弱性を検査・悪用（エクスプロイト）するためのフレームワーク（ツール群）です。
もともとはセキュリティ研究者やホワイトハッカーのために開発されたもので、
「実際の攻撃がどうやって行われるか」をシミュレーションし、防御対策を講じるために使われます。
・sudoとは、スーパーユーザー（root）としてコマンドを実行するためのコマンドです。
・アノニマスメール（Anonymous Mail）」とは、 送信者の身元が分からない・特定できないメールのことを指します。
感想
コンピュータとネットワークの基本原理や技術について学ばないと、ハッキングなど到底できないという言葉を読んだ時に、ハッキングが出来る人はかなりコンピュータとネットワークについてプロフェッショナルな知識と技術を持っているのではないかと思った。
私は読んでいて、架空の掲示板サイトを作成し、ラズベリーパイを購入して、実際にハッキングが出来ないか一度試してみたいなと思いました。（お金があれば、、）
仕事で作成しているアプリに関して、セキュリティ面で気になる箇所が多々あるのですが、ハッキングの知識が乏しいため、今のセキュリティで運用する事によって起こり得る最悪の事態がわからないので、ハッキングの知識を身につける事はエンジニアとして＋になるスキルなのではないかと思いました。
Discussion