サイバーセキュリティ書籍セレクション: 基礎

全9回の第1回。最初に読む価値のある本を集めた。最初のツールを開く前に、脅威モデルと語彙、そして全体像を与えてくれる。

このブロックを飛ばしていきなり実践に進むと、何のための手法なのかを理解しないまま、テクニックの寄せ集めだけが残る。

この分野の中心となる一冊。アンダーソンはセキュリティを工学の問題として扱い、コンピュータネットワークだけでなく、ATM、電子錠、医療システム、選挙を例に据える。著者は全文を無償で公開している。

テーマ: 脅威モデルと攻撃者モデル、セキュリティの経済学、攻撃の心理学、プロトコル、アクセス制御、物理とハードウェアの防護、実運用でのシステム障害。

大学の講義が組み立てられている学術的な教科書。無味乾燥だが、抜けを体系的に埋めてくれる。

テーマ: 暗号プリミティブ、認証とアクセス管理、OSとデータベースのセキュリティ、マルウェア、ネットワーク攻撃、標準と規制要件。

なぜセキュリティはプロセスなのか、なぜ技術だけでは何も保証されないのかを論じた本。四半世紀前に書かれたが、古びたのは事例だけだ。

テーマ: リスクとして考えること、前提の誤り、信頼される当事者、利便性と防御のトレードオフ、解決策としての暗号の限界。

入門資格の対策書であり、同時に業界用語をもっとも整理して見渡せる一冊。受験の予定がなくても役に立つ。

テーマ: 攻撃と統制の種類、アーキテクチャと設計、アイデンティティ管理、リスク管理、インシデント対応、暗号の基礎。

この職業に入る話。出発点で必要な技能、役割ごとの違い、システム管理者や開発者からの道の組み立て方。

テーマ: セキュリティ分野の専門領域の地図、ネットワークとシステムの必要な土台、練習用のラボ、資格とその実際の重み、最初の仕事の探し方。

同じ質問セットで実務家70人に聞いたインタビュー集。価値は回答のばらつきにある。外から見えるほど業界に自明の合意はない。

テーマ: キャリアの道筋、資格への態度、もっとも過大評価されている防御策、経営層との仕事、燃え尽き。

次回: 攻撃側のセキュリティ。

シリーズ全体:

1. 基礎
2. 攻撃側のセキュリティ
3. リバースエンジニアリングとマルウェア
4. 暗号
5. アプリケーションセキュリティ
6. 防御とインシデント対応
7. 攻撃ベクトルとしての人間
8. ノンフィクションの調査報道
9. フィクション