【ハッキングに挑戦】脆弱性が残された仮想イメージ公開プラットフォーム（VulnHub）で練習をする - Qiita
これからサイバーセキュリティについて手を動かしながら勉強に取り組んでいきたいと検討されている方に向けて「意図的に脆弱性が残された仮想イメージ公開プラットフォーム（VulnHub）で練習をする」として本稿をまとめていきたいと思います。 VulnHubとは 「Vulnerable By Design ~ VulnHub」（https://www.vulnhub.com/、以下 VulnHub）とは、意図的に脆弱性が残された仮想イメージを無料で!!公開しているプラットフォームです。 創設者のg0tmi1kは、『誰もがデジタルセキュリティ、コンピューターアプリケーション、およびネットワーク管理の実践的な経験を得ることができる資料を提供する』という目標を掲げ、その運用を開始しました。年々登録される仮想イメージの数は増加しており、VulnHub公式 Twitterアカウント（@VulnHub）のTwe
サービスの統制を保証する「SOC2」の概要をざっくりまとめてみた | DevelopersIO
オペレーション部の江口です。7月1日に入社してはや半月余りが経ちました。ようやく会社の雰囲気にも慣れ、少し落ち着いてきた感があります。 さて、今日はクラスメソッドの認証の取り組みについて少しご紹介です。 当社ではお客様に安心してお付き合いいただけるよう、様々な認証を取得しています。 クラスメソッド 各認証ポリシー その一環として、昨年より当社サービス「クラスメソッドメンバーズ」に対して SOC2の評価を受け、保証報告書を受領しています。 クラスメソッド、内部統制を評価したSOC2 Type1 保証報告書を受領〜AWS支援サービス「クラスメソッドメンバーズ」のサービス体制を強化〜 ところでこのSOC2というのは、いったいどのようなものでしょうか。 上記のリンクでも"「セキュリティ」「可用性」にかかる内部統制のデザインを外部監査人が評価したもの" と簡単に解説は書いてありますが、自分の勉強がて
ヤバイIT企業を見分ける3つの踏み絵：ITソリューション塾：オルタナティブ・ブログ
「セキュリティ対策」とは、ITを使いこなし、その価値を最大限享受しても安全・安心を維持する対策である。ユーザーに意識させ、負担させる「セキュリティ対策」、パスワードを何度も入力し、申請や承認のための手続きがやたらあって、業務を滞らせる「セキュリティ対策」も、ITの価値を毀損し、仕事の生産性を低下させるようでは、ITの価値を活かせないどころか、毀損している。 セキュリティのためにと様々な制約を課し、仕事の生産性を低下させている企業が、お客様の業務の生産性の向上に貢献できるわけがない。そんなIT企業に、仕事の依頼を続けることが、どれほどリスクが高いかを真剣に考えた方がいいだろう。 「ヤバイIT企業」は、次の3つの踏み絵で判断できる。 PPAPを使っている会社 PPAPとは、添付ファイルを暗号化し、zip圧縮して添付ファイルにして送信し、その後、平文でパスワードを送付する手順のことだ。これはセキ
文系出身のCompTIA Sequrity+取得れぽ - ゆるく雑多なやつ
ConpTIAのSequrity+という資格を昨年6月に取得しましたので、 思い出しつつ勉強法をご紹介したいと思います。 この時点でゆるくIT業界で業務している3年目くらいです。 基本情報は取得済み。2年くらい前ですかね。 そちらも記事書いています。よろしければ。 pipipipipino.hatenablog.jp Sequrity+とはwww.comptia.jp 概要は公式サイトにありますが、とっても噛み砕くと、情報セキュリティについて、少し詳しく知っている人になれる資格です。 IT企業に勤める人間として、常識となる情報セキュリティについてきちんと理解していますよ、と示すことができます。たぶん。 基本情報をお持ちでしたら結構かぶるので、覚えているうちに受けるといいかもしれません。 わたしは資格は自己研鑽のため！とか言えないタイプです。 会社から支給される資格手当ほしさです。 試験範囲
OSCP合格体験記 - Lily's Blog
皆さんこんにちは！白百合です。 この度、OSCPに合格したため、その体験記を書いていこうと思います🌼 私は最初からPWKのアップデート版を受講したため、そのあたりのことも書いていきます！ ------------------------------------------------------------------------------------ PWK / OSCPについて OSCP（Offensive Security Certified Professional）は、Offensive Securityが提供する、ペネトレーションテストの資格です。 試験の詳細は他の方々が沢山書かれているので省略しますが、簡単に言うと、最初の約24時間で5台のマシンに対して攻撃を行い（監視つき）、次の24時間でレポートを作成し提出するという実技試験です。 （詳細：https://www.of
政府情報システムにおけるゼロトラスト適用に向けた考え方 | 政府CIOポータル
本サイトは、過去のIT総合戦略室の情報発信サイトです。2022年6月30日に更新を停止しました。 現在のデジタル政策に関するデジタル庁の公式サイトはこちらをご覧ください。 境界型セキュリティの限界を示し、ゼロトラストと呼ばれるこれからのセキュリティの考え方を紹介し、政府情報システムにおけるゼロトラストの適用の取り組みを取りまとめました。 パブリック・クラウドの利用、働き方改革、APIによる官民連携等が政策上の大きなテーマとなっていますが、これらを推進するには、これまでの境界型セキュリティの考え方だけでは、その実現が困難です。 本文書では、上記のとおり境界型セキュリティの限界を示し、ゼロトラストと呼ばれるこれからのセキュリティの考え方を紹介し、政府情報システムにおけるゼロトラストの適用の取り組みを1)パブリック・クラウド利用可能システムと利用不可システムの分離、2)システムのクラウド化徹底と
Facebook、匿名化OS「Tails」ユーザーの正体暴く技術を開発 米FBIへ提供していたことが明らかに
Facebook、匿名化OS「Tails」ユーザーの正体暴く技術を開発 米FBIへ提供していたことが明らかに 米Facebookが米連邦捜査局（FBI）に協力し、犯罪者のネット上での足取りを割り出す技術を開発、提供していたことが分かったと、米ニュースサイトVICE内のテクノロジーメディアMotherboardが6月10日（現地時間）に報じた。この技術の利用により、ネット上での動きを“匿名化”していた性犯罪者の逮捕に至ったという。 匿名化技術を駆使して性犯罪を行う容疑者をFBIが逮捕 FBIが同技術を使って逮捕したのは、カリフォルニア州に住むバスター・ヘルナンデス容疑者（20代・男性）。容疑者は偽名を使い、数年間にわたってFacebookやメールなどで複数の少女を脅迫していた疑いが持たれている。脅迫内容は、性的な写真や映像を提供しなければ、殺害や性的暴行を行うというもの。脅迫は時に学校にまで
話題のGoogle製OSS - Tsunamiを試してみた - Qiita
はじめに 先日発表された話題のGoogle製OSS - Tsunamiを触ってみたので，実行方法と概要を残したいと思います． TL;DR サクッとコマンド叩くと脆弱性をjson形式で返してくれるので便利 ただ，XSSやSQLインジェクションといった内部のセキュリティーホールは見てくれない（これから対応するかもしれないが） どちらかと言うと，システムたくさん持ってる企業向け しかし，実行まで３分もかからないので，試してみる価値はあると思います． Tsunamiとは Tsunamiは，システムの脆弱性を高い信頼性のもと最小の誤検知率でRCE（遠隔からのコード実行）のような深刻度の高い脆弱性の検出を行います． 特徴としては，システム内部から実行することなく，外部から高速に実行でき，かつ，システムの規模に合わせて簡単にスケールすることができます． 作られた背景 昨今，攻撃者は自動化に力を入れている
米で需要の高いスキルはデータ、クラウド、サイバーセキュリティ
様々な指標から、この1年はITマネジャーと担当者にとって実りある年になるといえそうだ。特に、データ、クラウド、サイバーセキュリティの3分野に関連したスキルのある人は今後数年良い状況が続きそうだ。 Haysの最新のデータによると、ITに従事している企業の68％が2019年にフルタイムのIT雇用を増やす計画だという。また、サイバーセキュリティとクラウドコンピューティングの分野でコンサルタントを使うという企業は53％にのぼった。 Dice.comのLeslie Stevens-Huffman氏が先に紹介したFoote Partnersの需要の高いITの仕事の調査によると、データ管理と分析に関連した機会の増加が顕著なトレンドだという。Footeのレポートは、合計29万2000人のIT担当者を雇う3289社から収集した給与とスキルのデータを土台にしている。 今後増加が見込まれるカテゴリは以下のように
脆弱性検査を行うOSSツール「OpenSCAP」で何が分かるのか
脆弱性検査を行うOSSツール「OpenSCAP」で何が分かるのか：OpenSCAPで脆弱性対策はどう変わる？（4） 本連載では、グローバルスタンダードになっている「SCAP」（セキュリティ設定共通化手順）、およびそれを基にシステム構成や脆弱性の検査を行うためのOSSツール「OpenSCAP」や、その周辺の技術、用語などを紹介する。今回は、OpenSCAPの環境を構築し、実際に試してみた。 まずはOpenSCAPを試してみよう OSSセキュリティ技術の会の面和毅です。本連載「OpenSCAPで脆弱性対策はどう変わる？」では、実質的にグローバルスタンダードの「SCAP（Security Content Automation Protocol：セキュリティ設定共通化手順）」、およびそれを基にシステム構成や脆弱（ぜいじゃく）性検査を行うためのOSS（オープンソースソフトウェア）ツール「OpenSC
証明書300万件を強制失効。Let's Encrypt に一体何が起きたのか？ - Qiita
無料 SSL の認証局である Let's Encrypt は、有効な証明書のうち 2.6% に当たる300万件の証明書に対し、2020年3月4日に失効手続きを行うと宣言しました。しかもその事がユーザーに通知されたのは失効手続きの数時間前です。一体、Let's Encrypt に何が起きたのでしょうか？ 私が調べた事を共有したいと思います。 この記事は Let's Encrypt の証明書失効に関する一連の出来事についてまとめた物です。今回の失効処理の対象となっているかどうかの確認方法等については、以下の記事をご覧下さい。 Let's Encrypt に重大なバグが発覚。該当サイトは2020/3/4 までに対応が必須 更新しました(2020/3/7) 影響の度合いについての記載が正しくなかったので修正 現在の Let's Encrypt の見解が正しくなかったので修正 何が起きているのか？
Amazon CEOのiPhoneハッキング疑惑についてまとめてみた - piyolog
2020年1月22日、国連人権理事会より任命された特別報告人2名からの声明より、米アマゾンCEOベゾス氏がスパイウェアによる脅威に晒されていた深刻な懸念があることが明らかにされました。ここでは今回の声明で関与を示唆する情報として取り上げられた、ベゾス氏のiPhoneのフォレンジック分析に関連する情報をまとめます。 事の発端はベゾス氏のプライベートリーク 発端は2019年1月にベゾス氏の女性問題を報じたNational enquirerの記事。記事中にベゾス氏の個人的なテキストメッセージの内容が含まれており、原因を調査していた。*1 その後National enquirerを傘下に持つAMIの代理人よりさらなる情報公開を示唆する脅迫メールが届いており、ベゾス氏は自身のブログで非難する反応をしていた。medium.com ベゾス氏から調査依頼を受けたギャビン・デベッカー氏（氏の特別顧問）はこの
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
昨年12月のPayPay不正利用にも悪用されたダークウェブの最新動向 〜Torプロジェクトへの寄付金が過去最高額に——BCCC第16回リスク管理部会レポート
CASP+（CompTIA Advanced Security Practitioner+）類似問題：解答｜CompTIA JAPAN (コンプティア 日本支局)
https://www.comptia.jp/pdf/casp_cas-003_objectives_ja.pdf
CASP+