a_taj

『はじめて学ぶ最新サイバーセキュリティ講義』読了😀 以下は個人的なメモ。 P7 都市伝説はウソでも意図的な偽情報でもない。なんらかの事実や現象に関する確信を宿した物語。 P14 この本が論ずるのは、迷信ではなく都市伝説。 P35 CIAモデルの欠点。ドン・パーカーのHexadモデル P37 トートニーの法則 P40 TLSでネットワークに安全に接続できても、そこでのやり取りまで安全は保証されない。 P41 ブルース・シュナイアーの言葉「脅威の回避は白と黒。リスクの回避は程度の問題」 P44 人はあらゆるソフトウェアが自動更新されるものと思うようになり、更新情報を意識しなくなってしまった。 P45 セキュリティの強化ばかりに専念しないこと。重視すべきは、ユーザーが第一目的を果たせるために適切なセキュリティを実現すること。 P47 サイバーセキュリティの講演会では、サイバー攻撃の話から始まる。サイバーセキュリティの強化こそ重要だという考えを示して、受講者を教育する（脅す）。 P48 脅威を強調する手法は定番となり、それを表すFUD（恐れ、不安、疑念）という言葉が生まれた。 P50 脅威について知ることと、その知識を攻撃の阻止や緩和に役立てることは別問題。 P51 CTIの質に注目すれば、効果的なセキュリティを生み出せる。 P52 暗号専門家なら、マルウェアもいいけど暗号こそ重要と考えがち。 P54 すべてのリスクを、1つのセキュリティソフトで低減できない。 P59 ジャッキー・フェンのハンプサイクル（誇大広告のサイクル） P67 パスワードは頻繁に変更すべきという都市伝説がある。 P68 多要素認証でセキュリティレイヤーが増えても、SMS認証なら安全とはいえない。 P69 すべてのデモと学術的発見が広く利用されるというのは誤解。 P70 「攻めるほうが守るよりも楽」は正しいか。攻撃のほうが有利と断言するのは早いと主張もある。攻撃の価値が比較的低いときは、攻撃は有利とはならない。 P77 「技術的に実現可能」「理論的に合法」と説明する自分に気づいたら、そこで立ち止まって再考すべき。 P92 自分のネットワークについて、自分より攻撃者のほうが詳しいことは、あってはならない。 P108 人を責めてもサイバーセキュリティに資することは1つもない。 P124 隣人より防御力をちょっと強化するだけで、自分が狙われずに済むというのは甘い考え。「クマはそのへんにウヨウヨいる」 P132 隠すセキュリティの歴史 P149 無機的で固定的で共通のルールにサイバーセキュリティのすべてを委ねてはいけない。 P156 人はわかりやすい原因を特定して納得した途端に、他の原因を考えなくなる。 P184 ソーシャルエンジニアリングで認知バイアスをを悪用する攻撃者も、認証バイアスや損失回避に陥ることがある。 P203 著者の経験によると、優秀な専門家ほど「すべてに当てはまるとはいえないが」「よくわからないが」という言い回しをする。「誰も知らない簡単な方法がある」と言い切る同僚には気をつけること。 P211 管理者が意図しない逆の行動にユーザーが誘導してしまう現象は、コブラ効果という。逆インセンティブの一例。 P219 バグバウインティでエクスプロイト市場が縮小し、製品の欠陥が減ると考えるのは間違い。 P222 合法であっても、反撃は思いよらない結果や危険をもたらす。 P241-252 「専門資格や学位は役に立つ（または役に立たない）」について P263 エンドユーザーにすべての責任を押しつけるのは間違い。開発者、攻撃者、すべて人間に行き着く。 P276 重要な部分を大幅に省略してまで簡略化するのは本末転倒。中身のないアナロジーは、現実を覆い隠すだけ。 P360 名前には覚えやすいという以上の意味はない。名前のない脆弱性にも危険なものはある。 P395 映画「ウォー・ゲーム」はパスワード・スロットマシンという都市伝説を生み出した。 P415 トロイの木馬弁護術はまだ現役だが、悪いことばかりではない。 P425 数字はどう提示され、どう受け止めるかで意味が変わる。 P450 悪者が悪いことを刷る前に捕まえるのは理想かもしれないが、映画「マイノリティ・リポート」のように結局失敗する。 P467 ランダムな点に何らかの法則性を求めはじめたら、クラスター錯覚に陥っている証拠。 P479-481 都市伝説を回避するための包括的なベストプラクティス。4つの助言。 amzn.to/4avD9Ep #ad

『日経ソフトウェア』最終号 今月号で休刊らしいです😭29年間ありがとう。 付録の特別冊子は「3日でわかる！ 生成AI時代のプログラミング入門 データベースアプリ開発編」 amzn.to/4hsXFKP #ad