*[ハッカーの甲子園]
http://www.asahi.com/national/update/0523/006.html
政府主催ってのはすごいなぁ。今までは民間企業(特にセキュリティ関係会社)が新製品の実証のためにコンテストをやったりしてたけど・・・
Webサーバ・アプリサーバとかのミドルウェアの脆弱性って言うのはＩＳＳとかのツールを使えば、検査できるけどその上に載るアプリケーションの脆弱性っていうのはなかなかチェックできないんだよね。
今はそのツールがいくつか製品として出始めてるけど、果たしてどのくらい検査ができるか？効果があるのか？っていうのが全く見えないから導入はちと難しい。
で、今思いつくのは、いっそのこと「サーバを公開して、第３者にハッキングをさせればいい。でハッキングする難しさを段階であらわせばいいんじゃない？」って思うのよ。
一応、そーゆー検査サービスをやってる会社ってあるけど、どーゆー進入方法を取ってるのかなぁ？ノウハウくれとは言わないまでも、実際に進入している現場をちょっと見てみたい。クライアントは検査サービスをやる人にＩＰアドレスしか教えないって言うけど。
通常では
- ポートスキャン
- 稼動ミドルウェアの確認
