Clever Geek Handbook

不快な情報セキュリティの書籍リスト



グリモアセンサーセル by naiiade



十分に高度な技術は、武器と比較することができます。敵が銃を持っているが、持っていない場合は、意図的に力のバランスを変えたいと思うでしょう。 ITセキュリティの分野では、さまざまな方法で伝達される知識がまさに武器であり、その使用は刑法の規範だけでなく、倫理的な選択によっても制限されます。



脆弱性の侵入と検出の複雑さを理解せずに、情報セキュリティの分野の専門家になることは不可能です。 今日のコレクションのすべての本は、保護として持ちたいロードされたライフルに似ています。初心者のセキュリティ研究者と知識の境界を広げたい専門家の両方による研究に必要です。



パート1.侵入テストと脆弱性検出の一般的な方法論的説明



侵入テスト、ハッキングの実践的な紹介







セキュリティの専門家であるジョージアウェイドマンは、実用的な侵入テストガイドで、基本的なハックテスト方法について語り、Wireshark、Nmap、Burp Suiteなどのツールを使用して一連の実践的な演習を行っています。 テストは、侵入テストとセキュリティチェックのメインオペレーティングシステム（OS）であるKali Linuxプラットフォームに基づいて行われます。



Georgia Weidmanは専門的にテストに従事し、コンサルティングセキュリティ会社であるBulb Securityの創設者であり、Black Hat、ShmooCon、DerbyConなどの会議で講演しています。 また、FastTrack DARPA Cyber​​の助成金を受けて、モバイルデバイスのセキュリティの分野で働き続けています。 ジョージア州は、著名な狭量の研究者であるCorelan Security Teamの創設者であるPeter Van Eeckhoutteaka（corelanc0d3r）を惹きつけて本を作成しました。



この本は、ハッカーの原則と、システムを攻撃から保護するための同じ方法とツールの使用を理解したい初心者に適しています。 500ページには、エクスプロイト開発分野、モバイルOSの攻撃、ソーシャルエンジニアリング、アンチウイルスの回避策など、さまざまなトピックに関する優れた例と手順が記載されています。



ペネトレーションテスターのオープンソースツールキット







Open Source Toolkitの各章は、テストの特定の領域に焦点を当てています。 この本は、侵入テストの実施に使用できる既存のオープンソースツールについて説明しています。



大規模な商用テストツールは、非常に高価なだけでなく、使いにくい場合があります。 この本は、両方の問題を解決するのに役立ちます。 Open Source Toolkitは、特定の状況に応じてペンテスターに​​よって変更できるオープンソースツール（無料）を使用して、さまざまな種類のサーバーアプリケーションをテストする手法と方法論に専念しています。



この本の著者-Jeremy Fairclothは、20年以上にわたって業界で働いています。 この間、彼は多くの分野の専門家になりました：Web開発、データベース管理、企業セキュリティ、ネットワーク設計、アプリケーション開発、プロジェクト管理。 彼は世界のトップ50の最大の収益に含まれる企業のいくつかの技術チームを率いました。 Jeremyは、さまざまなITトピックを扱った12冊以上の技術書を執筆しています。



Open Source Toolkit（2011）の第3版は現在入手可能です。 4番目の更新バージョンのリリースは、2016年の終わりに発表されました。



認定倫理的ハッカーレビューガイド







公式のCEH認定試験準備ガイドは、ネットワークおよびコンピューターのセキュリティリスクを特定するのに役立ちます。 このガイドは、最新のシステムのハッキングに関するあらゆる問題を網羅しています。 認定された倫理的ハッカーになるという目標を持っているかどうかは関係ありません。この本はすべてのセキュリティ専門家に役立ちます。



このマニュアルは、倫理的ハッキングの概念の説明から始まり、実際のハッキング手法の技術的特徴、マルウェアの導入、ソーシャルエンジニアリング、サービス拒否、暗号化などについて説明しています。 この本は、大学レベルの知識を持ち、基本的なネットワークプロトコルとネットワークインフラストラクチャの原理を理解している人に適しています。



アメリカの組織であるEコマースコンサルタントの国際評議会（EC評議会）は、リーダーシップの質を担当しています。



Metasploit：ペネトレーションテスターガイド







倫理的なハッキングを学びたい人のための別の有用な本。 エクスプロイトを作成およびデバッグするための人気のあるMetasploitハッカーフレームワーク専用です。 この本はMetasploitを学ぶ初心者に最適です-NeXpose Community EditionとNessを使用してデータを収集し、MSFencodeを介してウイルス対策でかくれんぼをし、Karmetasploitを通じて偽のアクセスポイントを作成し、パスワードを傍受し、シェルコードを暗号化してIDSからの攻撃の事実を隠しますまたはIPSなど。



一見、すべての兆候から、未経験のハッカーグループがさまざまなハックを実行する方法に興味がある場合、この本では、さまざまな単純な攻撃について徹底的に説明します。



2007年にMetasploitがPerlからRubyに移植されたため、必要なスキルはRubyの知識です。したがって、この本のすべてのコードはRubyで書かれています。



著者の大規模で非常に経験豊富なチームがこの本に取り組みました：セキュリティスペシャリストDavid Kennedy（TrustedSec company）、Offensive Security Jim O'Gorman（Kali Linuxは同じ会社で作成され、彼女はMetasploitの主要開発者の1人）、Devon Kearnsのスペシャリストです（プロジェクトBacktrack、Kali LinuxおよびMetasploitで作業）、開発者Mati Aharoni（Kali Linux、Whoppix）。



RTFM：レッドチームフィールドマニュアル







Red Team Field Manual（RTFM）は、Pentesterの100ページのマニュアルです。Windows、Cisco IOSのすべてのビット、Powershell、Python、Scapyのさまざまなスクリプト、およびいくつかの便利なLinuxコマンドについて説明しています。



レッドチームは、あなたのために働いて情報システムを攻撃する白いハッカーです。 サイバーセキュリティということわざという名前の会社のディレクターであるベンクラークは、もともとこの本を彼の赤いチームの参考として書き、雇用主から出版の許可を得ました。



Shellcoderのハンドブック







情報セキュリティの分野における一流の専門家グループが、オペレーティングシステムまたはアプリケーションの穴を見つける方法に関する最高の本の1つを執筆しました。 この本は、Windowsシェルコードの記述方法、スタックオーバーフローへの攻撃、およびオープンシステムのカーネルの正しい機能の違反について説明しています。



700ページの本で提起された質問の範囲は膨大です！ 24の章は4つの部分に分かれています。





この本は、ハッキングトレーニングとハッキング防止が生涯にわたる活動である専門家にとって不可欠な必需品です。



著者について：



ハッキング：搾取の芸術







本の著者であるJon Ericksonは、単に既存のエクスプロイトの使用を示す代わりに、ハッキング手法が実際にどのように機能するかを系統的に説明しています。 最初の100ページは、エクスプロイトを理解するために必要な基本概念を提示するためのものです。その後、技術的な部分へのスムーズな移行があります。バッファオーバーフローを使用してメモリシステムを使用して任意のコードを実行する方法、独自のポリモーフィックシェルコードを記述する方法、ネットワークトラフィックをインターセプトする方法などです。 。 この本は、パスワードのハッキング、Wi-Fiネットワークに対する中間者攻撃、指紋保護をバイパスするソフトウェアの使用などのトピックもカバーしています。



安全なプログラミングを学びたいLinuxネットワークプログラマーにとって、これ以上の本はありません。 間違いなく初心者には機能しません。Cとアセンブラの知識が必要ですが、同時に、経験豊富なシステム管理者がすぐに作業を開始できるように、包括的な参照情報があります。



Jon Ericksonは、無料の脆弱性研究者であり、コンピューターセキュリティの専門家です。



倫理的なハッカーのハンドブックをハッキングする灰色の帽子







この本の第4版は昨年リリースされ、情報セキュリティの研究への道に着手したばかりのすべての人に役立つでしょう。 初心者向けセキュリティの専門家とペンテスター向けのテキストブックでは、ほとんどすべてのサイバーセキュリティのトピックを取り上げています。 エクスプロイトとシェルコード、マルウェア、リバースエンジニアリング、SQLインジェクションなどの古典的な説明に加えて、本書の更新版には、Androidエクスプロイト、MD5ルーターとパスワードのハッキング、ゼロデイ脆弱性の発見に関する12章が含まれています。など 一般に、700ページには、さらに研究を進める上で最も興味深い領域を選択するのに役立つすべてのものが含まれています。



著者のチームが話題になっており、それは巨大です。





パート2.ワイヤレスセキュリティ分析



BackTrack 5ワイヤレス侵入テスト入門ガイド







ワイヤレス攻撃の古典的な方法の簡単なガイド：監視、WLANパケットの傍受、ネットワークのスキャン、MACフィルターと認証のバイパス、WEPおよびWPA / WPA2のハッキング、なりすまし、中間者攻撃、悪意のある二重攻撃、DoS攻撃、ウイルスのSSID、ハニートラップ、その他多数。



この本は、少なくともLinuxまたはBacktrack 5とWi-Fiの基本的な知識がある初心者に適しています。



この本の著者は、マイクロソフトセキュリティコンテストの勝者の1人であるVivek Ramachandranです。 彼はCiscoのセキュリティエンジニアとして働き、SecurityTube.netを設立し、CaffeLatteワイヤレス攻撃方法を発見し、Blackhat、Defcon、Toorconなどの多数のセキュリティ会議で講演しました。



パート3. Webアプリケーションのセキュリティ分析



Web Application Hacker's Handbook：セキュリティの欠陥を見つけて利用する







900ページ（第2版）の長いタイトル（便宜上、WAHHと呼びます）の本では、リモートコントロール方法、HTML5、クロスドメイン通信、クリックジャッキング、フレームバスティング（Javascriptを使用して開いているiframeページを確認する）、Web攻撃について説明していますHTTPパラメータ汚染アプリケーション、ハイブリッド辞書攻撃など。



WAHHは、任意のWebアプリケーションでセキュリティ機能を使用した経験がある読者に役立ちます。 ペンテストチーム、QA、またはプログラム監査チームの参考書と見なすことができます。



WAHHの作成者は、10年以上にわたってプロのWebアプリケーションセキュリティテスターです。





著者は、MDSecセキュリティコンサルティング会社を共同で設立しました。



OWASP TestingGuide v4







コレクションの中で最も珍しい本。 無料であることは珍しいです。 英語版はヘッダーのリンクから入手できます 。ロシア語への翻訳はこちらにあります 。



OWASP（The Open Web Application Security Project）は、開発者がアプリケーションの潜在的な脆弱性や弱点を認識できるように、アプリケーションのセキュリティをより透明にするための多数の企業や専門家を集めたオープンプロジェクトです。



OWASPテストガイド-ペンテストの「ベストプラクティス」やWebアプリケーションとWebサービスのテスト手法の説明など、多くの著者の記事のコレクション。



パート4.モバイルプラットフォーム（Android、iOS）のセキュリティ分析



モバイルアプリケーションハッカーのハンドブック







Mobile Application Hacker's Handbookは、iOS、Android、Blackberry、およびWindows用の800ページの脆弱性悪用ガイドです。 モバイルアプリケーションの脆弱性を評価するための方法論と、さまざまな種類の攻撃を防ぐために使用される方法について説明します。 この本は、データストレージ、暗号化、トランスポートレイヤーセキュリティ、情報漏洩、ランタイム操作、セキュリティ制御などのトピックをカバーしています。



最初に、モバイルアプリケーションのセキュリティの一般的な概要が公開され、その後、物語がさまざまな部分に「分割」され、それぞれが特定のモバイルプラットフォームに向けられます。



iOSアプリケーションの分析に関する章では、著者はデータ保護APIやキーチェーンなどの概念を説明しています。 この本には、IOSアプリケーションをテストできるテスト環境の作成に関するセクションもあります。 次の章では、同じデバイス上のアプリケーション間でデータを転送するために使用される、SQLおよびXMLインジェクション、およびプロセス間通信の信頼性の低いアプリケーションの攻撃方法について説明します。



この本では、強力な暗号化を使用してiOSアプリケーションを保護する方法、不要なデータ（地理位置情報データなど）を削除する方法、および追加のセキュリティシステムを導入する方法について説明しています。



他のプラットフォームの残りの章は、アプリケーション分析、攻撃方法の分析、特定のプラットフォーム用の安全なアプリケーションを作成する方法と同じ方法で構築されます。



そして著者について簡単に：





Android Hacker'sHandbook







Androidへの攻撃を検出して防止する最初の完全なガイド。 これは、すべてのAndroidアプリケーション開発者のライブラリにある必要がある本の1つです。 OSとその全体的なセキュリティアーキテクチャのデバイスの動作原理を詳細に説明した後、著者はシステムのさまざまなコンポーネントについて検出できる脆弱性を調査します。



Androidアプリケーションのセキュリティに関する詳細な研究では、これと比較できる本を見つけるのは困難です。 各章は自給自足なので、マニュアル全体を読み直すことなく、特定のトピックに関する情報を取得できます。 同時に、この出版物はITセキュリティ分野の初心者にはお勧めできません。これを理解するには、ネットワークシステムのセキュリティの基礎とAndroid開発の経験を知る必要があります。 一部の場所では、アセンブラの知識も役立ちます。



著者について：





パート5.「戦闘」プログラミング



Black Hat Python：ハッカーとペンテスター向けのPythonプログラミング







「戦闘プログラミング」では、強力なハッカーツールを「オンザフライで」作成する能力がなければ実行できません。 本当に効果的なハッキングツールの作成方法に興味がある場合は、Pythonをご覧ください。



Black Hat Pythonでは、スニファーの作成、パッケージの操作、仮想マシンへの感染、Git Hubを使用したトロイの木馬の作成、自分の手でキーロガーの実行、Burp Suite（ペンテスト用のユーティリティセット）への拡張機能の作成、ネットワークからのデータの秘密の出力などを学習します別の。



この本は、独自の悪意のあるソフトウェアを作成する前に、Pythonでの古典的なネットワークツールの作成をガイドします。ハッカーがコンピューターに侵入し、データを密かに盗み、リソースへの匿名アクセスを長期間維持する方法を示します。 さらに、敵の攻撃を検出して無効にするソフトウェアを独自に作成する方法を学びます。



本のボリュームは小さく、161ページで、そのほとんどはスクリーンショットとコード例です。 ただし、Pythonの優れた経験が必要なため、初心者にはお勧めできません。また、リファレンスとして使用することもできません。 代わりに、Linux Kaliをインストールし、提案されたすべてのタスクを段階的に実行する必要があります。



この本の著者は、Immunityの上級警備員であるJustin Seitzです。 彼はまた、このテーマに関する別の人気のある本、 Gray Hat Python-Python Programming for Hackers and Reverse Engineersの著者でもあります。 Grey Hat Pythonは2009年前半に登場し、デバッガー、トロイの木馬、ファザー、エミュレーターの作成などのトピックを扱っています。 ここには純粋な理論もありません。すべての例には、実際に作業する必要があるコードが付属しています。さらに、PyDbg、Debugger Sulley、IDA Python、PyEMUなどのオープンソースツールの広範なセットを調べます。



Violent Python a Cookbook for Hackers







Pythonistsにアピールする別の本。 「戦闘プログラミング」の理論的基礎の理解から実用的な実装への移行のトピックを明らかにします。 別の攻撃者のツールに依存する代わりに、この本はPythonを使用して独自の武器を作成する方法を教えます。 Violent Python a Cookbook for Hackersは、スクリプトを使用した大規模なネットワーク攻撃を自動化する方法、メタデータを抽出する方法、ネットワークトラフィックを傍受して分析するコードを記述する方法、およびワイヤレスネットワークを攻撃する方法とウイルス対策の活動を隠す方法について説明しています。



著者について：TJ O'Connorは、米国国防総省の情報セキュリティ専門家です。 Twiceは、米国国家安全保障局の年次サイバー防衛選手権で優勝チームを指導し、最初の年次国防大学選手権で優勝しました。



TJは、ノースカロライナ大学でコンピューターサイエンスの修士号、SANS Instituteで情報セキュリティの修士号、米国陸軍士官学校でコンピューターサイエンスの学士号を取得しています。



ペネトレーションテスターのコーディング：より良いツールの構築







侵入テストに使用される各ツールは、Perl、Python、またはRubyなどのプログラミング言語に基づいています。 テスターがテストを実行するためのツールの機能を拡張、補足、または変更したい場合は、この本が役立ちます。 Coding for Penetration Testersは、読者にテストツールの開発に使用されるスクリプトを理解させ、Perl、Ruby、Pythonを使用して同様のツールを開発するための特定のコード例を提供します。



著者について：





おわりに



Mail.Ru Technoparkには、「マルウェアからの情報の保護」に関するコースがあります。 Mail.Ru Group自体には、侵入テストというお気に入りのことを行う情報セキュリティ部門があります。 このレビューで言及されているすべての本は、何らかの形で私たちの仕事に関連しています。



いくつかの基準に従って、いつでもこのリストを続けることができます。 レビューのほぼすべての著者が定期的に執筆し、新しい教科書を発行したり、古い教科書を更新したりして、資料を当時の需要と関連付けています。 そのため、新しい投稿をお楽しみに。 さらに、Amazonシステムには優れた評価システムがあり、多くの場合、新しいセーフティブックに適切なコメントが表示されます。これについても注意する必要があります。


More articles:


All Articles