Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Web アプリケーションエンジニアが「ウェブ・セキュリティ基礎試験」(通称:徳丸試験)を受けてみた #intra_security

Web アプリケーションエンジニアが「ウェブ・セキュリティ基礎試験」(通称:徳丸試験)を受けてみた #intra_security

2019/10/09 開催の 第25回 セキュリティ共有勉強会(テーマ:災害対策) (https://intra-security.connpass.com/event/147430/) のLT資料です。

Shohei Okada

October 09, 2019
Tweet

More Decks by Shohei Okada

Other Decks in Programming

Transcript

  1. Webアプリケーションエンジニアが「ウェ
    ブ・セキュリティ基礎試験」(通称:徳丸基
    礎試験)を受けてみた
    第25回 セキュリティ共有勉強会(テーマ:災害対策)/@okashoi

    View Slide

  2. お前だれ?

    View Slide

  3. ウェブ・セキュリティ基礎試験?
    https://peatix.com/event/857251

    View Slide

  4. ウェブ・セキュリティ基礎試験?
    基礎的な知見を問う試験
    受けたのはベータ試験
    ベータでも合格者は正式に認定される
    受験料が安い(1 万円 → 5 千円)
    通称:徳丸基礎試験
    そうです、あの徳丸さんです
    https://www.phpexam.jp/news/tokumarushiken/

    View Slide

  5. きっかけ
    https://twitter.com/ockeghem/status/1148857551959646208

    View Slide

  6. きっかけ
    友人「徳丸試験やて、ほら、申し込むぞ!」

    View Slide

  7. きっかけ
    私 「アッハイ」

    View Slide

  8. 自分のセキュリティに関する知識レベル
    セキュリティに関する基礎概念はわかっている
    SQL インジェクション、XSS、CSRF、CORSなど
    新規開発における方針の策定などを業務で経験してはいる
    実装レベルの話はフレームワークにおまかせ

    View Slide

  9. やっとこと
    対策期間 1 ヶ月も無い
    申し込み日 7 月 10 日
    試験日 8 月 4 日
    他にもやることがあったので、正味使える時間はもっと少ない
    → 本で網羅的に知識をさらう

    View Slide

  10. やったこと
    20 時間も満たない
    業務時間後に友人とあつまってもくもく(2~3時間×3)
    当日試験開始まで(5時間)
    あとはこれまでの実務経験に頼る

    View Slide

  11. 読んだ本 1
    『徳丸浩のWebセキュリティ教室』
    とりあえず網羅的にサクッと知りたかった
    事例ベース
    試験対策の知識としては深さが足りないと感じた
    エンジニア以外(事業責任者とか)にもおすすめできる

    View Slide

  12. 読んだ本 2
    『体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生
    まれる原理と対策の実践』
    Webセキュリティといったらこれ
    出題範囲として明記されている
    時間的に端から端まできちんと目を通すのは無理
    持っている知識と照らし合わせながら網羅性を優先して読んだ

    View Slide

  13. 試験の様子
    https://twitter.com/_yoshimasa/status/1157904225600303104

    View Slide

  14. 試験の様子
    4 択問題 40 問
    70 % 正解で合格
    試験時間 2 時間

    View Slide

  15. 試験結果
    まだ(LT までに結果くると期待してたが、まだ)

    View Slide

  16. 所感
    セキュリティが大切なのは理解していても、体系的な知識を包括的
    に身につけられているかは疑問に思っていた
    それに一定の指標を与えてくれるのはありがたい
    もちろん資格をとったから実務ができるというわけではない
    「徳丸本を通して読む(エネルギーが要る)」きっかけになった

    View Slide

  17. 徳丸基礎試験はいいぞ!
    感想ブログ
    https://blog.okashoi.net/entry/2019/08/04/200635

    View Slide