登録セキスペ オンライン講習A 3・４ 追記1 - 各種脆弱性調査ツール
下記の4つが脆弱性の調査に有用なツールが紹介されていました。
少しだけ触ってみたり調べてみたのでメモです。
ネットワークキャプチャツールです。クライアントPCへインストールし、通信先に対するHTTPリクエスト／レスポンスなどがチェックできます。https://www.ipa.go.jp/files/000077215.pdf
ツール名で検索したら2019年度のIPAの集合講習用教材が出てきました。とりいそぎ試してみる分にはとても分かりやすかったです。どうも集合講習だと実際に手を動かしての学習があるようですね。
OWASP ZAP
オワスプ社のウェブアプリケーション脆弱性ツールです。Fiddler同様クライアントPCへインストールして使用します。※使用するには先にJREのインストールが必要です。
講習教材に、注意点として破壊検査を行うと書かれていますので気を付けてください。下記サイトでも使い方が紹介されています。宛先サイトを指定するだけで脆弱性チェックができます。
https://www.shadan-kun.com/blog/vulnerability/2961/
ちなみに、試しにこのサイトのチェックをしてみたらアラートが7件も…
OpenVAS
オープンソースの脆弱性診断ツールです。英語のみ対応らしいです。
下記サイトで使用例が紹介されています。Apacheを動作させているサーバへインストールし、自サーバの各種脆弱性や、他のサーバへ向けた攻撃に利用される危険性などについて調査することができるようです。
https://knowledge.sakura.ad.jp/342/
Nmap
ポートスキャンツールです。ネットで検索すると、「コマンド」として使用方法が書かれたサイトが数多くヒットします。ポート状態の調査で使用できるものとしてはOS標準でnetstatやssコマンドがありますが、nmapは宛先IPアドレスを指定・実行するだけで「XX番開いてた！」「YY番閉じてた！」と報告してくれる、何かと使い勝手が良いやつ…らしいです。OSやサービス名、そのバージョン名の取得もできるとか。
https://beginners-network.com/nmap.html
ちなみにこちらの方のサイトで、バージョン名やOS名を検知した際のApacheのアクセスログの動きが紹介されています。
http://bttb.s1.valueserver.jp/wordpress/blog/2019/01/06/nmap/
Fiddlerの参照先サイトに記載されているAppGoatは、IPAが開発した脆弱性体験学習ツールです。脆弱性の概要や対策方法など、脆弱性に関する基礎的な知識を実習形式で体系的に学べるらしいです。（今回の講習教材にこのツールの紹介が10数ページほど載っています。）
システム管理者/運用者/開発者は、この学習を通して安全なウェブサイトの作り方を学ぶことができます。12テーマの脆弱性（例：SQLインジェクション、CSRF、…etc．）について学習することができ、脆弱性ごとの習熟度テストで理解度が確認でき、全脆弱性に関する総合テストによって評価されます。…とのことです。実践的な手法で正しいスキルが身に着けられるツールのようです。どんな脆弱性も検出できるようになりますね！
個人でもIPAへ利用申請すれば使用できるようですが、集合研修で講義を聞きながら進められると理解も早くて助かります。集合研修は2年後なんですが、果たしてどうでしょうか…？
脆弱性体験学習ツール AppGoat：IPA 独立行政法人 情報処理推進機構
追記： 上記IPAに問い合わせたところ、Fiddlerの参照先サイトはセキスペの集合研修で使用しているものではないのだそうです。また、IPAのセキスペ集合研修でAppGoatを扱う予定も特に無いとのことです。個人使用を考えている旨伝えたところお勧めしてもらえたので、時間があるときにチャレンジしてみたいと思います。
