皆様、こんにちは。
本日、新しくチームにJoinしたメンバーと、営業の希望者の皆さん向けに、Rapid7の製品説明会を実施しました。
講師は４月から２年目となった、期待の星のＴさん。
せっかくですから資料を共有したいと思います！
新年度になって、主要製品の社内勉強会を毎日のようにやっていますが、いくつかの製品の講師は、２年目、３年目のメンバーです。
驚くべき成長力！！と言っておきます。（ホントにすごい）
私こと中の人がドカ飯の写真や料理ばかりやっている間に、若手のメンバーはどんどん力をつけているわけです。まあ、ベテランの域にいる自分の世代との違いはプレゼンテーションの上手さですかね。
製品説明だけではなく、自分をプレゼンテーションする術を知っているというか、なんというか、そういうのは世代の差なのかなあと思ったりします。ワタクシが新人、２年目の頃は、ただただ先輩や上司の前に立ち尽くし、「はい」しか言わなかった記憶があります。
ま、３年目からテメーラ！！でしたけどね・・・。
この数年、脆弱性診断の製品販売やサービス展開に注力しているわけですが、いろいろなお客様とお仕事をさせていただく中で、かなりチームのスキルはあがってきていると思います。
幾度か、とある業界さま向けに講演をさせて頂いたり、攻撃演習をお見せしたり、実際にお客様が受けた攻撃の再現を徹夜を繰り返してやってみたり...。数年前では考えられないお仕事です。
まだまだ、この世界、日本の市場は米国と比べると遅れていまして、企業や各種団体のサイバー・セキュリティに対する意識も薄いような気がします。しかしながら、これから、各種国際イベントがありますし、本邦の設備が攻撃の対象になることも増えてくると思います。
インターネットの世界では大企業も中小企業もなく、例えばウェブサーバは単にウェブサーバなので、弱いサーバは狙われます。攻撃者は、いきなり、一番大きく強いところを狙わず、周辺にいる弱いところを狙い、本丸に攻めあがるわけです。
子会社、孫会社、関係会社、保守業者、出入り業者、作業拠点、工事拠点、リモートオフィス...などなど。最近も大手企業でありましたよね...。
近年のトレンドとしては、サーバー攻撃の「闇ビジネス化」と、国家が関与しているといわれる「APT組織」があるわけですが、彼らの「仕事」を邪魔するには、投資対効果（ROI）を下げてやる必要があります。
今日日、脆弱性の情報など、ダークウェブなどで売買される時代ですから、脆弱性があると知られれば、真っ先に攻撃される、そしてその相手はひとつではなく、複数であると認識したほうがよいと思います。
いや、ホントにウェブサーバのログとか見たほうがいいですよ。
まあ、だからこそ、RedSealやRapid7の導入は意味があるのであって、まずは脆弱性をつぶして、攻撃されないようにすることは大事で、さらに言うと、一度検査して終わりではなく、継続的、将来的にはリアルタイムで監視をしましょうね、というのが脆弱性管理の世界だと思います。
