【#も読】新卒セキュリティ育成の現場/Next.js侵害インシデント/AIによるマルウェア解析自動化/タスクインジェクション攻撃(@yousukezan)のトップ画像

【#も読】新卒セキュリティ育成の現場/Next.js侵害インシデント/AIによるマルウェア解析自動化/タスクインジェクション攻撃(@yousukezan)

投稿日時:
東内 裕二のアイコン

三井物産セキュアディレクション株式会社 / セキュリティエンジニア

東内 裕二

Xアカウントリンク

「あの人も読んでる」略して「も読」。さまざまな寄稿者が最近気になった情報や話題をシェアする企画です。他のテックな人たちがどんな情報を追っているのか、ちょっと覗いてみませんか?


こんにちは。東内(@yousukezan)です。
相変わらず引きこもってAIとセキュリティの記事を中心に読んでいます。昨年末はAdvent Calendarのおかげでたくさんの良質な日本語記事が投稿されました。読む側としてはありがたい限りです。
それでは、最近読んで良かったコンテンツの一部を紹介します。

セキュリティ未経験の新卒が2ヶ月でセキュリティスキルの基礎を身につけた話

若手のスキルアップに携わる機会がたまにあるのですが、体系的で効率的な学習方法はどうすればいいのかといったことを考えることも多いです。本記事は、セキュリティ未経験で入社した新卒エンジニアが、わずか2ヶ月間の「BootUP研修」を通じてセキュリティスキルの基礎を身につけた経験を振り返った記録です。配属当初、プログラミング経験こそあったものの、セキュリティの実践的知識はほぼゼロの状態だった筆者が、認証・認可という重要な業務を担うに当たり、セキュリティ知識の必要性から研修に参加した記録です。

研修はITやネットワークの基礎から始まり、脆弱性診断、セキュアコーディング、インシデント対応、ハードニング演習など、座学とハンズオンを組み合わせた実践的な内容で構成されています。特に印象的だったのは、SQLインジェクションなどの脆弱性を攻撃者視点で検証し、その後防御策を実装するという、攻撃と防御の両面から学べた点だということです。

また、研修ではPython/Flaskを用いたWebアプリケーション開発演習も行い、パスワード管理やXSS対策など、セキュリティ要件を意識した実装を経験しています。これにより、書籍知識にとどまらず「実際にどう実装するか」を理解できたということです。さらに、実際のサイバー攻撃を想定したインシデントレスポンス演習では、ログ分析や封じ込め対応をチームで行い、現場に近い緊張感を体験しています。

これらの研修を通じて、筆者はセキュリティエンジニアとしての共通言語や考え方を習得し、実務理解度が大きく向上したと述べています。加えて、情報処理安全確保支援士試験においても、実体験に基づいて問題に取り組めた点が大きな成果だったとしています。未経験からでも、適切な環境があれば短期間で実践的なセキュリティスキルを身につけられることが分かります。

セキュリティに初心者のエンジニアだけでなく、新卒・若手育成に関わる立場の人にとっても、学習設計や期待値の置き方を考えるヒントが詰まった一編といえるでしょう。

Next.jsの脆弱性を数日放置したら暗号通貨マイナーを仕込まれた話

この記事のつづきを読もう
新規登録/ログインしたらできること
  • すべての記事を制限なく閲覧可能
  • 限定イベントに参加できます
  • GitHub連携でスキルを可視化
ログイン
アカウントをお持ちでない方はこちらから新規登録