プロのようにセキュリティ研究を行う方法は？

セキュリティ研究者は、コミュニティと彼らが代表する利害関係者に対して責任があります。 成功するには技術的なスキル以上のものが必要です。よく考えられた調査計画により、特定のシステムやネットワークでの悪意のある活動から人々を安全に保つことができます。

さらに、彼らは、彼らが取り組んでいるシステムを保護するために、最新の脆弱性を追跡する必要があります。 Log4jの脆弱性。 このブログ投稿では、責任ある効果的なセキュリティ研究者になるためのヒントを紹介します。

セキュリティ研究の基礎を理解する

セキュリティ調査は、システム、ネットワーク、またはアプリケーションのセキュリティの弱点を見つけるために実施される調査と分析のプロセスです。 セキュリティ調査は、これらの弱点を特定し、それらを軽減または排除できるソリューションを推奨することを目的としています。

ほとんどのセキュリティ研究は、企業や組織に雇用されているか、独立して働いている独立したセキュリティ研究者によって実施されます。

いくつかの学術および政府資金によるセキュリティ研究グループもあります。 誰が調査を行っているかに関係なく、すべてのセキュリティ研究者が従う必要のある基本的な手順がいくつかあります。 彼らの仕事の質と有効性を確保する必要があります。

セキュリティ調査プロジェクトの最初のステップは、調査しているシステム、アプリケーション、またはネットワークを理解することです。 これは、それがどのように機能するか、その目的は何か、そしてその依存関係は何かをよく理解していることを意味します。 この知識がなければ、システムのセキュリティを正しく評価することは容易ではありません。

一般的な脆弱性とエクスプロイトをよく理解してください

次のステップは、一般的な脆弱性とエクスプロイトに慣れることです。 これは、調査しているシステムの潜在的な弱点を特定するのに役立ちます。

いくつかのリソースには、次のような一般的な脆弱性がリストされています。 Common Vulnerabilities and Exposures（CVE） データベース。 標準的な悪用手法にも精通していると、脆弱性がどのように悪用されるかを理解するのに役立ちます。

一般的な脆弱性とエクスプロイトを十分に理解したら、調査しているシステムでそれらを探し始めることができます。 これは、コードまたは構成を手動で確認するか、静的コード分析ツールなどの自動ツールを使用して実行できます。

潜在的な脆弱性を見つけた場合、次のステップはそれが実際に脆弱性であることを確認することです。 これは、脆弱性を自分で悪用しようとするか、徹底的なコードレビューを実施することで実行できます。

問題が脆弱性であることを確認したら、それがすでにわかっているか（CVEデータベースなどを通じて）、新しいかどうかを判断する必要があります。

研究に適したツールとリソースを使用する

効果的なセキュリティ調査を実施するには、適切なツールとリソースを使用する必要があります。 これには、静的コード分析ツールなどの技術ツールと、CVEデータベースなどの非技術リソースの両方が含まれます

また、使用しているツールとリソースの使用方法をよく理解することも不可欠です。 たとえば、静的コード分析ツールを使用している場合は、それがどのように機能し、結果を正しく解釈するために何を探すのかを理解する必要があります。

適切なツールとリソースを使用することに加えて、研究環境が安全であることを確認する必要もあります。 これは、コンピュータとネットワークを攻撃から保護し、処理している機密データが適切に保護されていることを確認することを意味します。

最後に、調査中に深刻な脆弱性を見つけた場合の対処方法も計画する必要があります。 これには、影響を受ける当事者に責任を持って問題を開示する方法を知ること、および結果として生じる可能性のあるメディアの注目に対処することが含まれます。

責任を持って調査結果を報告する

脆弱性が新しい場合、次のステップは、影響を受けるシステムのベンダーまたは開発者に責任を持ってそれを開示することです。 これは、電子メールを送信するか、バグトラッカーでチケットを開くか、セキュリティページから連絡することで実行できます。

脆弱性を開示する際には、責任ある開示ガイドラインに従うことが不可欠です。これにより、問題が迅速に修正されるようになります。

脆弱性を開示したら、ベンダーまたは開発者からの応答を待つ必要があります。 ほとんどの場合、問題の修正方法に関する情報を提供します。 次に、問題が修正され、システムユーザーにリスクが発生しなくなったことを確認する必要があります。

場合によっては、ベンダーまたは開発者が時間どおりに開示に応答しないことがあります。 このような場合、問題が迅速に修正されるように、調査結果を公開する必要があります。

これは最後の手段としてのみ行う必要があり、公開する前に、ベンダーまたは開発者に問題を修正するための妥当な時間を常に与える必要があります。

最後に、問題が修正されたら、調査結果を詳述したブログ投稿または紙を書く必要があります。 これは、問題の認識を高め、将来的に悪用されるのを防ぐのに役立ちます。