セキュリティ · 診断実務・キャリア

脆弱性診断の歩き方 — 報告書まで

診断で見つけたものを、再現手順・影響・修正案のそろった報告書1本に仕上げます。capstone です。

実習

コード実行なし

環境構築

★★★重さ 0 / 3

前提

Web診断を数本

倫理

第0章の法と倫理ゲートへの同意が必須です。

続きから

章の一覧

1. 未完了第0章はじめに — 売られているのは、報告書診断業務で実際に対価が支払われる成果物が報告書であることを理解し、sec-disclosure(偶然見つけた穴)との違いを押さえます。法と倫理ゲートに同意します。約6分次はここ
2. 未完了第1章スコープの確認と偵察 — 見てよい範囲を、確定する診断の最初の一歩、スコープ確認の重要さと項目を押さえます。これまでの自作コースの中から診断対象を1つ選び、依頼書の形でスコープを書き出し、偵察のチェックリストを作ります。約11分次はここ
3. 未完了第2章発見から、再現手順を固める見つけた穴を、あいまいな記憶ではなく誰でも辿れる番号付き手順に固める作業を、実際に自作やられ(vuln-portalのIDOR)で行います。良い手順・悪い手順を見比べます。約10分次はここ
4. 未完了第3章影響評価 — 重大度を、決める重大度を「悪用の可能性」と「悪用されたときの影響」の2軸で評価する考え方を学びます。CVSSの発想を簡易版で押さえ、これまでの穴を例に高中低を判定する練習をします。約10分次はここ
5. 未完了第4章報告書を書く — 実務レベルのフルテンプレsec-disclosureの1件用テンプレを、複数の発見をまとめる正式な診断報告書に発展させます。要旨・スコープ再掲・手法・発見一覧・発見ごとの詳細・総評という構成を、実際に手元で書きます。約14分次はここ
6. 未完了第5章まとめ — 提出のあと、そして一巡提出後の再検証(是正確認)の重要さと、診断業務の全体像を畳みます。個々のコースで学んだ穴の知識が、この一連の歩き方に組み込まれたことを確認します。約4分次はここ

詰まったときはお助けページへ。章ごとのファイル一式をダウンロードして、途中から再開できます。