GRADUATION
見つけたあとの作法を、身につけました。
穴を見つけることと、それを正しく伝えることは、別の技術です。追試しない・公表しない・持ち出さないの原則、日本の早期警戒パートナーシップの流れ、そして相手が動ける報告書の書き方。この3つで、あなたは「見つけて終わり」にしない診断者になりました。
おつかれさまでした。
持ち帰るもの
- 見つけたあとの3つの禁攻撃で追試しない・勝手に公表しない・データを持ち出さない。善意でも、この3つを破ると加害になります。
- 日本には届け先がある情報セキュリティ早期警戒パートナーシップ(IPA 受付・JPCERT/CC 調整)という公式の枠組みがあり、一人で抱えず・直接攻撃せずに橋渡しできます。
- 良い報告書は、相手が動ける再現手順・影響・切り分け・修正案。責める文書ではなく、直す人が今日から動ける文書を書きます。
次にやるといいこと
- このコースの報告書の型は、旗艦「Web セキュリティの土台」で回した「攻撃 → 修正 → 再検証」と地続きです。再現手順は攻撃、修正案は修正、そして相手の再検証を助ける——同じループを、言葉で相手に手渡します。
- T0(法と倫理)を通したら、次は T1 の実習(sec-web-taste・sec-http・sec-burp)へ。手を動かす準備が整いました。