支援士×支援士

かとことまさる
  • 0.0 (0)
  • Technology
  • Weekly

この番組は、情報処理安全確保支援士試験の合格を目指す皆さんを”支援”する、ラジオ番組です。 「まさるの勉強部屋」のまさる（@masaru_benkyou）と、通信事業者で働くネットワークエンジニアのかとこ（@katokonigiry）が、セキュリティに関する問題をお互いに出題し合って雑談する番組です🐵📻🐰#支援士 #情報処理技術者試験 #応用情報 #基本情報 #IPA #セキュリティ #ネットワークスペシャリスト #情報処理安全確保支援士 Youtubeでも更新しています！動画でみたい方や感想やコメントを送りたい方は、ぜひYoutubeも覗きに来てください！ https://www.youtube.com/playlist?list=PLfrpqyRFsglJsEt7azyByC6AaCyWpFyJo

  1. 20h ago

    #75 そのCAPTCHA、本物？ 偽の認証画面を悪用する「ClickFix」とは

    第75回目の放送です。今回のテーマは「ClickFix」。いつものように「私はロボットではありません」にチェックを入れたところ、続けて「認証を完了するために、Windowsキー＋Rを押してください」と表示されたら、あなたは指示に従いますか？ JPCERT/CCが2025年7月に公開したレポートでは、改ざんされたウェブサイトに偽のCAPTCHAを表示し、利用者自身の手で攻撃者のコマンドを実行させる手口が報告されています。Ctrl＋Cを押した覚えはないのに、Ctrl＋Vで貼り付けられるものの正体とは。チェックボックスの裏で動く仕掛けを解き明かし、Windows標準のMSHTAが悪用された事例にも触れながら、利用者が立ち止まるべきポイントと、アプリケーション制御やEDRといった組織側の対策を整理しました。止めすぎれば業務が回らない、という実行制御の設計の悩ましさにも踏み込んでいます。オープニングは、信号機やバイクの画像選びで迷うCAPTCHAあるあるから。「人間であることを証明してください」と求められ、ウサギのまさるが抱える葛藤とは？ 迷う動きこそが人間らしさ、という話の行き先もお楽しみください！ オープニング｜CAPTCHAで迷うのは人間の証？ ‎00:00:00 ClickFixとは｜偽のCAPTCHAが攻撃の入口に ‎00:05:35 「Windowsキー＋Rを押してください」に従いますか？ ‎00:07:20 JPCERT/CCの事例｜改ざんサイトに表示される偽CAPTCHA ‎00:08:34 クリップボードの仕掛け｜コピーしていないのに貼り付けられるもの ‎00:10:10 対策｜立ち止まる・報告する・アプリケーション制御とEDR ‎00:12:53 MSHTAの悪用｜実行制御と業務のバランス ‎00:16:05 スリーウェイハンドシェイク｜ミドリンクさんのコメント ‎00:20:29 イベント告知とエンディング ‎00:25:39 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  2. Oct 23

    #74 NICT注意喚起「A2B攻撃」をやさしく解説 ― 鍵はSSRF対策

    第74回目の放送です。今回のテーマは、NICTが10月13日に注意喚起を出した「A2B攻撃（App-to-Backend Attack）」。国内で相次ぐ個人情報の漏えい、その原因の一つとして名指しされた手口です。狙われるのはスマホアプリそのものではなく、その裏側でログインや会員情報を管理しているバックエンドサーバー。攻撃者は公開アプリを持ち帰って解析し、「このサーバーにはこう頼めば通るかもしれない」とオーダーメイドの攻撃を組み立てます。アプリを役所の窓口に置かれた記入用紙にたとえると、本当の問題は用紙が誰でも持ち帰れることではなく、窓口が中身を確かめずに受け付けてしまうこと。悪用された4つの脆弱性、SQLインジェクション・RCE・IDOR・SSRFに共通する弱点も、まさにそこにあります。後半はSSRFに絞り、URLプレビューのような身近な機能から、クラウドの認証情報、さらにストレージの大量データへと被害が芋づる式に広がる流れを追いかけ、アプリ・権限・ネットワークの3層で止める多層防御を整理しました。認証と認可の違いなど、試験に直結する観点もまとめています。オープニングは先週末のキングオブコントの話から。「寝てない」が言い訳になる人間に対して、一睡もせず、頼まれたことを素直にやってしまう働き者とは？ 今日のテーマへのつながりをお楽しみください！ オープニング｜キングオブコントと一睡もしないサーバー ‎00:00:00 NICTの注意喚起｜A2B攻撃とは何か ‎00:04:00 攻撃の4ステップ｜アプリは役所の記入用紙 ‎00:08:00 A2B攻撃の危険性｜オーダーメイド攻撃とAIによる効率化 ‎00:11:00 悪用された4つの脆弱性｜SQLインジェクション・RCE・IDOR・SSRF ‎00:14:00 SSRF｜サーバーに勝手な「お使い」をさせる攻撃 ‎00:20:00 SSRF対策｜アプリ・権限・ネットワークの多層防御 ‎00:22:00 試験に活かす3つのポイント ‎00:24:00 振り返り｜多層防御は通信の流れでイメージする ‎00:27:00 スリーウェイハンドシェイク｜つけ麺さんのコメント ‎00:29:00 イベント告知とエンディング ‎00:33:00 ■ 参考：NICT 注意喚起 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」 https://cynex.nict.go.jp/library/261013-01.html presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  3. Oct 16

    #73 サイバー攻撃で会社が大損害！？サイバーセキュリティ保険とは

    第73回目の放送です。今回のテーマは「お金の話」。とはいえ儲かる話ではなく、サイバー事故で出ていくお金の話です。顧客の個人情報が1万件漏洩したら、企業はいくら負担することになるのか。かとこの予想は「数億円」。保険会社の資料に載っていた想定額と比べると、損害の規模感の捉え方が少し変わるかもしれません。前半のクイズでは、事故原因の調査、顧客・メディア対応、コールセンター設置、見舞金・見舞品、システム復旧、再発防止対策という6つの費用項目を、高い順に当てていきます。技術者の感覚で予想すると、1位の項目には意外さを感じるはずです。後半は、サイバーセキュリティ保険がカバーする「費用損害」「賠償損害」「利益損害」「資金損害」の4つの区分を整理し、年間売上5億円・従業員30名の小売企業を想定した月額保険料もクイズで考えます。ランサムウェアの身代金は保険で補償されるのか、という論点にも触れました。保険に入れば安心、というわけではありません。失った信頼は保険では取り戻せないという前提に立ち、インシデント発生後の備えとして保険をどう位置付けるか。BCPやサイバーレジリエンスの視点から考える回です。スリーウェイハンドシェイクでは、開発・運用の回に寄せられたyoshiさんのコメントを紹介しています。※特定の保険会社・商品を推奨するものではありません。補償内容や保険料は各社の最新情報をご確認ください。「お金の話」と聞いて身構えた方も、ぜひ本編で！ オープニング｜今回は「お金の話」 ‎00:00:00 個人情報1万件の漏洩でかかる費用は？ ‎00:00:27 クイズ｜サイバー事故対応費用ランキング ‎00:03:44 サイバーセキュリティ保険の4つの補償 ‎00:10:33 クイズ｜小売企業の月額保険料はいくら？ ‎00:14:08 保険で補償されないものと最も大切なこと ‎00:17:41 エンディング｜スリーウェイハンドシェイクと福岡での自主集会告知 ‎00:19:27 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  4. Oct 9

    #72 開発・運用の方法論 新シラバスの用語を追う：テスト駆動開発からエラーバジェットまで

    第72回目の放送です。今回のテーマは、新シラバスの大分類「システムの開発・運用」に置かれた中分類「開発運用の保護」。これまで別々の分類にあったアジャイル開発やDevOps、SLOが一つにまとめられたことから、開発と運用を地続きの活動として捉える方向性が見えてきます。とはいえ、チームでの開発・運用の経験は二人ともほとんどありません。そこで今回は、架空のエンジニア「しえん様」が働く開発チームを2週間かけて職場見学する形で、用語が実際の仕事のどこに現れるのかを追いかけました。パスワード再設定リンクを「30分で無効」にする機能を作る前に、なぜわざわざ失敗するテストを先に書くのか。テスト駆動開発の「赤・緑・リファクタリング」、セキュリティ要件をチーム共通のDefinition of Doneに組み込む考え方、そして便利なCI/CDパイプラインがサプライチェーン攻撃の入口にもなりうる点を整理します。後半は、月間の可用性目標99.9%から導かれる「約43分」を予算として扱うエラーバジェットの話。スプリントの途中で、しえん様が新機能の開発を取り下げた理由から、SLO・SLI・オブザーバビリティの関係までつなげました。なお、エラーバジェットは新シラバスで新たに登場する用語のため、令和8年度の試験範囲には入らない可能性があります。スリーウェイハンドシェイクでは、前回の新試験制度の回にいただいた「全て回答」の読み方に関するコメントを取り上げ、改めて考え直しました。 オープニング｜開発と運用が同じ中分類に ‎00:00:00 新シラバスの構成と現行シラバスとの違い ‎00:00:52 職場見学スタート｜しえん様と2週間のスプリント ‎00:05:26 DAY 1｜まず失敗するテストを書く ‎00:07:35 テスト駆動開発｜赤・緑・リファクタリング ‎00:10:36 CI/CD｜全員の成果物が通る共通の経路 ‎00:15:22 1週目の終わり｜パイプラインとサプライチェーン攻撃 ‎00:18:50 DAY 2｜エラーバジェットとSLO・SLI ‎00:20:19 共通点｜判断の基準を先に決めておく ‎00:26:03 スリーウェイハンドシェイク｜新試験制度の「全て回答」 ‎00:27:26 エンディングとイベント告知 ‎00:31:07 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  5. Oct 2

    #71 新試験制度の支援士サンプル問題をチェックしていく！

    第71回目の放送です。今回のテーマは、2027年度から始まる予定の情報処理安全確保支援士試験の新制度。IPAが公開した科目Bのサンプル問題を、まさるとかとこで実際に確認していきます。現行の科目Bは4問から2問を選んで解答する形式ですが、サンプルでは「一問一答」8問と「一問三答」4問、合計12題という構成に大きく変わっています。一問一答は情報資産台帳を題材にしたマネジメント寄りの短い問題、一問三答はWebサイトのセキュリティ診断で見つかった脆弱性を扱う技術寄りの事例問題。どちらも選択肢から答える形式ですが、アからクまでの8択となると勘では太刀打ちできず、文章量が減っても簡単になるとは限りません。さらに、試験時間は150分から120分へ短縮される予定。一問三答は全設問必須とされている一方で、一問一答8問が必須か選択かはサンプルからは読み取れず、まだ分からない点も残っています。なお、今回の内容は2026年度の試験ではなく2027年度以降の新制度の話であり、サンプルは出題イメージを示すものです。最新情報は必ずIPA公式サイトでご確認ください。直近で受験される方に向けて、今年度試験の申込み開始日もお知らせしています。後半のスリーウェイハンドシェイクでは、「VPN」「ゼロトラスト」という言葉をどう使うべきかというコメントを紹介しました。オープニングは、10月最初の配信らしく秋の話題から。食欲、読書、スポーツ、そしてこの番組を聴いている皆さんにとっての秋とは。続きはぜひ本編で！ オープニング｜10月最初の配信と勉強の秋 ‎00:00:00 今年度試験の申込みは10月6日から ‎00:01:27 2027年度からの新試験制度 ‎00:02:17 サンプル問題を見る前の注意点 ‎00:02:45 クイズ｜新しい科目Bの問題構成 ‎00:05:05 正解発表｜一問一答8問と一問三答4問 ‎00:06:09 一問一答のサンプル｜情報資産台帳 ‎00:07:50 一問三答のサンプル｜Webサイトのセキュリティ診断 ‎00:09:47 変更点のまとめ｜試験時間は150分から120分へ ‎00:13:57 スリーウェイハンドシェイク｜VPNとゼロトラストという言葉 ‎00:18:37 エンディング｜サンプルを見ての感想 ‎00:21:42 イベント告知 ‎00:23:18 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  6. Sep 18

    #70 ポートスキャンとグローバルIP

    第70回目の放送です。今回のテーマはポートスキャン。グローバルIPアドレスを持つということは、外からスキャンされ続けることとほぼ同じ意味ではないか——そんな問題意識から、リモートアクセスVPNの入口を題材に「構成で防げること」と「受け入れるしかないこと」を切り分けていきます。約43億個あるIPv4アドレスすべてに対して443番ポートを調べるのに、どれくらいの時間がかかるのか。クイズの答えを知ると、「小さな拠点だから見つからない」という考えは捨てたくなるはずです。キーワードは「存在は隠せないが、中身は隠せる」。TCPコネクトスキャン・SYNスキャン・UDPスキャンの違いを押さえたうえで、送信元IP制限が拠点間VPNでは効くのにリモートアクセスVPNでは難しい理由、令和6年度春の午後問題にも登場したSPA（Single Packet Authorization）の仕組み、そしてZTNA・SASEに移行すると攻撃面が「消える」のではなく事業者側へ「移る」という話まで整理しました。ログ読解やファイアウォールルール見直しの記述問題で、「何を防いでいるか」と「何を受容しているか」を書き分けるヒントにもなる回です。オープニングは、ポルトガルという国名の語源から。そこからどうやって今日のテーマにつながるのか、ぜひ本編で！ オープニング｜ポルトガルの語源と「ポート」 ‎00:00:00 今日のテーマ｜グローバルIPとポートスキャン ‎00:03:13 クイズ｜IPv4全体のスキャンにかかる時間 ‎00:05:25 受容すべきリスクと構成で抑えられる情報 ‎00:08:09 ポートスキャンの代表的な方式｜TCPコネクト・SYN・UDP ‎00:12:15 対策①｜不要ポートの閉鎖と送信元IP制限 ‎00:14:20 リモートアクセスVPNでIP制限が難しい理由 ‎00:17:17 対策②｜SPAによる鍵ベースの待受制御 ‎00:20:27 対策③｜ZTNA・SASEはリスクを消すのでなく移す ‎00:22:20 事業者利用とパッチ適用の速さ ‎00:26:31 スリーウェイハンドシェイク｜SPAと特殊詐欺対策アプリ ‎00:29:22 エンディングと今後のイベント告知 ‎00:33:06 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  7. Sep 11

    #69 実例で学ぶ支援士対策｜ はてな11億円流出事件から学ぶ職務分掌

    第69回目の放送です。今回のテーマは、株式会社はてなで起きた資金流出事件。特定の誰かを責めるための回ではなく、支援士の勉強として何が学べるのか、同じ被害をどう防ぐのかという観点で読み解いていきます。セキュリティの勉強をしていると技術的な脆弱性やマルウェアに目が行きがちですが、攻撃者が狙ってくるのは人のほう。今回の事件も、経理部長の私用携帯にかかってきた一本の電話から始まりました。事前に押さえられていた個人情報、ビデオ通話で提示される偽の警察手帳と逮捕状、「家族に話さないように」という孤立化。そこからリモートデスクトップアプリの導入、会社PCの遠隔操作、そして二段階認証の突破へと進み、9,999万円の送金を皮切りに1億円規模の不正送金が繰り返されていきます。X銀行とY銀行で権限設定が違っていたことが何を意味したのかも要注目です。オープニングは、まさるのスマホにかかってきた詐欺電話の体験談から。警察官を名乗る相手に「録音させてください」と伝えた結果どうなったのか、ぜひ本編で！ 番組紹介｜自己紹介と詐欺電話の体験談 ‎00:00:00 セキュリティにおける人間の脆弱性 ‎00:02:56 はてな資金流出事件①｜心理的誘導とPCの遠隔操作 ‎00:04:26 はてな資金流出事件②｜二段階認証の突破と繰り返される不正送金 ‎00:09:06 はてな資金流出事件③｜事件の発覚と詐欺の認識 ‎00:12:13 支援士対策｜職務分掌とシラバスへの記載 ‎00:15:16 スリーウェイハンドシェイク｜ミアさんのコメント ‎00:21:18 エンディングと今後のイベント告知 ‎00:25:01 presented by まさる ＆ かとこ 感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━ まさるの勉強部屋 公式LINE ━━━━━━━━━━━━━━━━━━━━ 学習に役立つ情報やお知らせを配信しています ぜひお気軽にご登録ください！ https://lin.ee/xirUlvH

  8. Sep 4

    #68 SSL復号・TLSインスペクションは正規の中間者？ネスペの過去問から読み解く

    第68回目の放送です。 今回のテーマはTLSインスペクション。「SSL復号」「TLS復号」「HTTPSインスペクション」「SSL可視化」と呼び方はバラバラですが、指しているものは全部同じです。令和7年度春のネットワークスペシャリスト試験に出題されていて、支援士の視点でも押さえておきたいところ。暗号化された通信を封筒にたとえると「宛名だけ見る方式」と「封を開けて中を読む方式」があり、今回は後者の話。「どこに行ったかはわかるけど、そこで何をしたかはわからない」——この状態が何を意味するのかを、クイズ4問を解きながら整理していきます。オープニングでは、まさるがジャッキー・チェンに憧れて中学1年で器械体操部に入った話から。バク転はできるようになったのか、ぜひ本編で！ オープニングと武術トーク 00:00:00今回のテーマ｜セキュリティはITの総合格闘技 00:01:50TLSインスペクションとは｜呼び方の整理と封筒のたとえ 00:04:27クイズ①｜復号なしでは見えないものは何か 00:05:51暗号化通信で見えるもの・見えないものの整理 00:10:09クイズ②｜復号なしではできないことは何か 00:10:45クイズ③｜ブラウザに届く証明書は誰が発行したのか 00:13:35クイズ④｜ブラウザが証明書を信頼する根拠 00:17:23令和7年度春ネスペ｜実際の設問と正解解説 00:20:22スリーウェイハンドシェイク｜視聴者コメント返答 00:26:32イベント告知とエンディング 00:29:24 presented by まさる ＆ かとこ感想やコメントはYoutubeへ ━━━━━━━━━━━━━━━━━━━━まさるの勉強部屋 公式LINE━━━━━━━━━━━━━━━━━━━━学習に役立つ情報やお知らせを配信していますぜひお気軽にご登録ください！https://lin.ee/xirUlvH

See All (59)

About

この番組は、情報処理安全確保支援士試験の合格を目指す皆さんを”支援”する、ラジオ番組です。 「まさるの勉強部屋」のまさる（@masaru_benkyou）と、通信事業者で働くネットワークエンジニアのかとこ（@katokonigiry）が、セキュリティに関する問題をお互いに出題し合って雑談する番組です🐵📻🐰#支援士 #情報処理技術者試験 #応用情報 #基本情報 #IPA #セキュリティ #ネットワークスペシャリスト #情報処理安全確保支援士 Youtubeでも更新しています！動画でみたい方や感想やコメントを送りたい方は、ぜひYoutubeも覗きに来てください！ https://www.youtube.com/playlist?list=PLfrpqyRFsglJsEt7azyByC6AaCyWpFyJo

Information

  • Creator
    かとことまさる
  • Years Active
    2025 - 2026
  • Episodes
    59
  • Rating
    Clean
  • Copyright
    © かとことまさる
  • Show Website
    支援士×支援士

You Might Also Like