[ThinkIT] 第1回：Webアプリケーションの脆弱性 (1/4)
ソフトウェア製品の脆弱性は毎年数多くのものが見つかっている。次のグラフは1998年から2004年までに、米国のセキュリティ情報サイト「SecurityFocus」に新たに掲載された脆弱性の記事数の推移を表したものである。 ソフトウェア製品の脆弱性については、最近は各ベンダーがいち早く情報を発信し、パッチを配布するようになってきた。読者の皆さんの職場でもパッチ当て作業に追われている担当者がいるかもしれない。 こうした製品の脆弱性は、ソフトウェアの専門家が発見し、しばらくのちにベンダーの技術者が修正パッチを提供してくれるので、多くのユーザにとってはそのパッチを当てればだいたい事は済んでしまう。 ところが、われわれの身近にありながら、このように問題への対処が行われていないソフトウェアのカテゴリーがある。それが、Webアプリケーションである。 いまや、インターネットにアクセスできるわれわれにとって
便利100 Webツール/アプリ紹介、College@Home | エンタープライズ | マイコミジャーナル
10日(米国時間)、College@Homeにおいて100 Helpful Web Tools for Every Kind of Learnerのタイトルのもと学習者向けに有益な100のサイトが紹介されている。紹介されているツールにはWebアプリのみならずデスクトップアプリも含まれているが、ほとんどがWebアプリだ。すべて英語のサイトだがどういったWebアプリが提供されているのか調査する点においても興味深いリストになっている。同記事で紹介されているサイトは次のとおり。 マインドマップ: Bubbl.us、Free Mind、WiseMapping、Mindomo、DeepMehta、MindMeister、Mind42、RecallPlus、Mapul、DebateMapper、CMapTools、Thinkature チャートおよびダイアグラム: Gliffy、FlowChart、Dr
この1年で8倍増，国内でも広がるWebからの攻撃
筆者の職場であるセキュリティ・オペレーション・センター（以下，SOC）でセキュリティ動向を観測していると，Webサイトを悪用した攻撃が目立つ。2007年の11月に米SANSインスティチュートのSANS Internet Storm Centerが実施した調査でも，約150ドメインのWebサイト4万ページ以上でWebサイトの悪用が確認されている。そこで本稿では，攻撃の実態と対策について解説したい。 攻撃は国内のWebサイトでも確認されている。例えば，特定の業務にかかわる情報を提供するWebサイト。アクセスしたユーザーが，ページを閲覧しただけでウイルスに感染し，IDやパスワードの情報を盗まれた。ほかに，Webサイトが繰り返し攻撃に悪用される事件もあった。 SOCから顧客に通知したイベントを攻撃手法別に分類した結果が図1である。Webサイトを悪用した受動的攻撃は，2006年第4四半期に比べて49
aguse.jp: ウェブ調査
あやしいサイトや知らないサイトを訪れる前に、URLを入力するだけでサイト背景情報を調査したり、迷惑メールの送付経路を表示したりすることが出来ます。
「ウェブサイト運営者のための脆弱性対応ガイド」などを公開：IPA 独立行政法人 情報処理推進機構
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原武平太）は、ソフトウェア製品やウェブサイトのセキュリティ対策などを推進するため、「ウェブサイト運営者のための脆弱性対応ガイド」を含む報告書をとりまとめ、2008年2月28日（木）より、IPAのウェブサイトで公開しました。 本ガイドは、「情報システム等の脆弱性情報の取扱いに関する研究会」（座長：土居範久 中央大学教授）において、昨年7月から行われた検討の成果です。 IPAでは、IPAから脆弱性に関して通知を行ったウェブサイト運営者や、情報システムの構築事業者、セキュリティに関する有識者など16組織に対して、昨年9月から本年1月までにヒアリングを行い、ウェブサイトの脆弱性対策を促進する上での課題を抽出しました。 このヒアリングにおいて、一部のウェブサイト運営者は情報システムの脆弱性対策について、ウイルス・不正アクセス対策などの他の情報セ
Webアーキテクチャ設計術 --- ITpro
Webシステムを設計するアーキテクトが検討すべきポイントを連載でお届けします。まず，「HTTPの仕組み」を説明した後，「可用性」「パフォーマンス」「セキュリティ」「運用性」の4点を取り上げます。この4点を，ソフトウエアの品質について定めた国際規格「ISO/IEC 9126-1」に基づいてマッピングすると，図1のようになります。網掛け部分が連載のターゲットです。
Webの脅威 ： ITpro
Microsoftの10月定例アップデートは「緊急」4件，「重要」6件，「警告」1件 米Microsoftは，10月14日（日本時間では10月15日）に公開を予定する月例セキュリティ・アップデート（修正パッチ）11件に関する情報を発表した。内訳は，遠隔コード実行対策の「緊急（Critical）」4件，遠隔コード実行／権限昇格対策の「重要（Important）」6件，情報流出対策の「警告（Moderate）」1件。 [2008/10/10] 「ウイルス入り画像ファイル」にご用心――エフ・セキュア [2008/10/09]「MSが偽ソフトを推奨？」――セキュリティセンターをかたる新手口 [2008/10/09]「ウイルス付き迷惑メール」が急増，3カ月で10倍以上に [2008/10/08]アドビ，Flash Playerの「クリック乗っ取り」対策を公表 [2008/10/08] 脅威，すべて
公開Webサーバのセキュリティは大丈夫ですか？
公開Webサーバのセキュリティは大丈夫ですか？：目指せ！ ネット時代の幸せな管理者（3）（1/3 ページ） インターネット上で公開するWebサーバのセキュリティは、サービスの安定的な運用という点からも重要だ。こうしたサーバのセキュリティはどう確保していけばいいのだろうか。 前回は、会社のインターネット接続について、セキュリティの視点でご紹介しましたが、今回は、インターネット公開サーバ、特にWebサーバのセキュリティについてお話ししたいと思います。 企業の情報システム管理者の皆さんの中には、会社の顔となる企業Webサイトを運用されている方も多いと思います。また、カスタマーサポートやお問い合わせ窓口などの機能を持っているWebサイトを担当されている方も多いことでしょう。 悪意を持った攻撃を受けてWebサーバがダウンした場合、通常のハードウェア障害と比較して、復旧までの時間は非常に長いものとなり
Adobe Flash Playerの「訪問済み Webサイト」の記録を削除する方法 - Eiji James Yoshidaの記録
ブラウザとは別にAdobe Flash Playerにも「訪問済み Webサイト」という情報が記録されることを知らなかったのでメモ。 Adobe - Flash Player: 設定マネージャ（www.macromedia.com） Adobe - Flash Player: 設定マネージャ - ［Web サイトのプライバシー設定］ パネル（www.macromedia.com） 上記の「[Web サイトのプライバシー設定]パネル」のリンクをクリックしてAdobe Flash Playerの[Web サイトのプライバシー設定]パネルを表示したら、「すべての Web サイトの削除」ボタンをクリックし確認ボタンをクリックすることで、すべての「訪問済み Webサイト」の記録を削除することができる。 それにしても、Adobe Flash Playerを設定するのにAdobeのWebサイトに繋がなけ
Webサーバへの攻撃を見抜く ― ＠IT
ウイルス、ワーム、ボットによる攻撃……ネットワーク上に存在する脅威は多種多様である。サーバにアクセスされた形跡を見て、それが通常のものなのか、それとも脅威なのかを判断するには知識と経験が必要となる。そこで本連載では、インシデント・ハンドリングのために必要な「問題を見抜く」テクニックを分野ごとに解説していく（編集部） ※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 インシデントを最終判断するのは「人間」 インターネットは、いわずと知れた世
ウェブアプリケーションセキュリティとバッドノウハウ、そしてグッドラッパーの関係
ウェブアプリケーションセキュリティとバッドノウハウ、そしてグッドラッパーの関係 by 金床 ---------------------------------- はじめに ---------------------------------- 筆者はウェブアプリケーション開発者であると同時にセキュリティ技術にも興味がある。自身がSeaSurfers MLというウェブアプリケーションセキュリティをテーマとしたメーリングリストを主催しており、またセキュリティコミュニティに多くの知人、友人がいる。しかし彼らとウェブアプリケーションなどのセキュリティ対策について意見を交換すると、違和感をおぼえることが多い。 彼らは脆弱性の原理についてとても詳しいのだが、以下のような会話が頻繁に発生するのである。 「…つまり原理的に考えて、このようにすればXSSは発生しないんだよ」 「な
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
"21capture" by yamagata21
これは何？ ブラウザのスクリーンショットを画像（PNG形式）として保存するキャプチャツールです。 １画面に収まりきらないような、縦に長い画面の写真をいっぺんで撮ることが出来ます。 また、コンテンツ部分だけでなく、Internet Explorer の外枠部分も画像化されます。 シェアウェアを買うお金が無いので自分で作ってみましたｗ ⇒撮影した画像の例 （スクロールバーにはお引取り頂く仕様ですｗ） なお、コマンドラインで URL と 保存先ファイル名 を指定して起動することも出来ます。 例） 21capture.exe "http://www.google.co.jp/" "google.png" この場合、スクリーンショットを撮影し終わると自動で終了します。 ダウンロード 21capture-ver1_00.zip [ 2007/04/06(金) ] ※ .NET Framework 2.
産総研 RCIS: 安全なWebサイト利用の鉄則
お知らせ: 情報セキュリティ研究センターは、2012年4月1日にセキュアシステム研究部門 (2015-03-31 終了) に改組されました。 2015年4月1日現在、一部の研究は情報技術研究部門に継承されています。 この解説について 目的： フィッシング被害を防止するWebサイト利用手順の確認 著名なブランド名や会社名を騙った偽のWebサイトを作り、人をそこに誘い込んでパスワードや個人情報を入力させてかすめ取る、「フィッシング」 (phishing)と呼ばれる行為がインターネットの安全を脅かしつつあります。フィッシングの被害を防止するには、利用者ひとりひとりが本物サイトを正しく見分けることが肝心です。 しかしながら、どうやってWebサイトを安全に利用するか、その手順のことはあまり広く知られていないようです。技術者達の間では暗黙の了解となっていることですが、市販のパソコンの取扱説明書には書か
直リンクを防ぐには？…禁止と言っても無駄 - ［ホームページ作成］All About
「直リンク禁止！」と言っても無駄 「無断リンクは禁止！」・「直リンクは禁止します」と宣言しているウェブサイトをたまに見かけます。 禁止しようと思うことは自由ですが、「禁止します」と宣言しただけではまったく意味がありません。 誰でもどこへでも自由にリンクできるのがウェブです。 制作者が「リンクは禁止します」と言ったところで、そこには何の強制力もありません。 どうしてもリンクを禁止したい場合には、技術的な手段を使ってアクセス制限を施すしかありません。 そこで今回は、外部サイトからの直接リンクを技術的に制限する方法についてご紹介致します。 直リンクを禁止する主な用途 たいていのウェブサイトは、人々に見てもらうために公開しているでしょう。 とすると、外部サイトからリンクされることは、歓迎こそすれ、拒否するものではないでしょう。 しかし、以下のような場合には、直リンクを拒否せざる
Wagby - 誰でも簡単に Web データベース
7月4日（木）、7月5日（金）にWagby Tech Meet 2024 in Okinawaを開催します。詳細はリンクよりご覧ください。
今日の覚え書き Tickler's bunkum days: 「激しく使える」サイトの自分用まとめ
open-arms.biz 2023 著作権. 不許複製 プライバシーポリシー
星野君のWebアプリほのぼの改造計画 連載インデックス - ＠IT -
セミナー申し込みフォームがスパムの踏み台？ 星野君のWebアプリほのぼの改造計画（1） 念願のWeb担当に異動した星野君。最初の仕事はセミナーのWeb申し込みフォームを3日で作ることだった（2005/10/15） ・セミナー申し込みフォームを3日で作れ！ ・Webサーバはどこだろう？ ・Web申し込みフォームなんて簡単ですよ ・スパムの踏み台は想定外！？ 誰でもWeb管理画面に入れる気前のいい会社 星野君のWebアプリほのぼの改造計画（2） 星野君に与えられた次なる指令は……仕事がなかった。しかたなく「Web管理ツール」を調べてみると……（2005/11/19） ・仕事がない！ ・サーバ上にある「admin」フォルダの謎 ・「admin」フォルダを封鎖せよ ・SQLインジェクション、発見！ ・助けて！ まこと先輩 ・Webアプリ改造計画発動－SQLインジェクション編 Webアプリ、入力チェ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Webからの脅威」を攻略せよ――セッション管理編
『インターネット白書2006』ウェブ担当者にきいた企業ウェブサイトの実態 | Web担当者必見！ リサーチ データ&市場調査レポート
