CISSPに合格してからしばらく資格取得はお休みしていましたが、そろそろ次の資格にチャレンジしてみようと思います。次はCISA (Certified Information Systems Auditor)という資格で、情報システムの監査および、セキュリティ、コントロールに関する高度な知識、技能と経験を有するプロフェッショナルとしてISACAが認定する国際資格で、日本語では「公認情報システム監査人」となるそうです。
国際資格ではありますが、CISSPと同様に日本語での試験ができることと、日本語のテキストや問題集が揃っているので少し安心です。でも、CISSP同様に長時間の試験で150問ということで難易度は高いです。
まずはテキストと問題集を入手しようとしたのですが、なんとISACA国際本部のBOOK STOREでしか売られていないので、国際貨物（私の場合はUPS）で送られてきます。テキストも問題集も送料の価格もやや高めですが、これしかないので買うしかありません。あらかじめISACA会員になっておくと少しディスカウントされるのですが、ISACA会員になるのは合格してからということにしました。
今回購入したのは以下の２冊です。
UPSで送られてきたテキストです。5日ぐらいで到着しました。なかなかの厚みです。
現在このWebサーバをCentOS 8.1からUbuntu 20.04へ移行中です。
サーバの設定もほぼ完了したのでlogwatchというログを監査するパッケージを入れました。
CentOS 8.1ではLogwatch 7.4.3 (04/27/16)を使っていました。毎日、Webサーバーのログを解析して、次のようにWebサーバのエラーレスポンスコードがレポートされるようになっていました。
Requests with error response codes
400 Bad Request
null: 12 Time(s)
/: 1 Time(s)
：
このレポートをみると、外部からどのようなWebアクセス試行（攻撃？）があるのかがわかります。
昨日、CISSPの試験を受けて無事合格となりました。まだ資格認定の手続きが残っていますが一安心です。今後受験されるかたの参考になるようにどう取り組んできたかをまとめておきます。なお、試験内容についてはNDAがありますのでここでは触れません。
OWASP DAY in TOKYO 2016 Spring!!でMini Hardeningがあるということで申し込みをしたところ、運良く参加することができました。
Let's Encryptのサーバ証明書でこのkanpapa.comをhttps対応サイトにしてみました。
Let's Encryptは無償でSSL/TLSサーバー証明書の発行を行ってくれるサービスです。
SSL/TLS通信を行うためにはサーバー証明書を準備しなければなりませんが、通常はサーバー証明書は有償で発行していて、そのサーバの運営者情報まで確認できます。Let's Encryptで作成したサーバ証明書では運営者情報までは保証してくれません。このためサーバ証明書情報を確認すると「検証され信頼できる運営者情報はありません」となりますが、接続先が正しいサーバであることは証明でき、通信内容もSSL/TLSで暗号化されます。
サーバ証明書の作成方法はQuick Start Guideにも説明されていますが、まずはサーバー証明書の発行に必要なデータをホームディレクトリに持ってきます。
$ cd
$ git clone https://github.com/letsencrypt/letsencrypt
一旦httpdを停止します。
$ sudo /sbin/service httpd stop
Stopping httpd: [ OK ]
$
マイクロソフトから無料のセキュリティ対策ソフトMicrosoft Security Essentialsが公開されたので早速VAIO Type Pにインストールしてみました。
前回挑戦したトレンドマイクロのウィルスバスター2010はWindows 7 RCでは定義ファイルの更新等ができなかったので、すぐアンインストールしてしまったのですが、このMicrosoft Security EssentialsはちゃんとWindows 7 RCでも動作しました。
いまフルスキャンをかけていますが、完了までには少し時間がかかりそうです。
