ラックは、2020年1月31日「サイバー救急センターレポート 第8号 ～クラウドサービスのインシデント対応～」を発表しました。近年、クラウドサービスがビジネスにおいて重要な存在となるなかで、同レポートは、クラウドサービス特有のサイバーインシデントが発生するに至った経緯、ラックによる対応の流れ、その他最新の攻撃手法などを詳細に報告しています。 この記事では、同レポートが紹介するクラウドサービスのシークレット※1にまつわるインシデント事例に関し、有効な対策となるHashiCorp社の製品「Vault（ヴォルト）」の機能を紹介します。 ※1 シークレット：クラウドにアクセスするためのアクセスキーといった認証情報 クラウドサービスのシークレットにまつわるインシデント事例 サイバー救急センターレポートでは、AWSを利用してコーポレートサイト等を運営するA社のアクセスキーが漏えいした事例を紹介していま

サイバー救急センターレポートは、サイバー救急センターが相談を受けて対応しているインシデントレスポンスやフォレンジック調査の結果に基づいて、直前の四半期のインシデント傾向や対応方法について記載したレポートです。主に、企業等の中でCSIRT担当者やインシデント対応している方に向けて、日本におけるインシデントの発生状況や脅威情報を紹介し、日々のインシデント対応に役立つ内容となっています。 エグゼクティブサマリ 2019年の出動・相談傾向 クラウドへのセキュリティ診断 サイバー救急センターレポート第8号（目次） エグゼクティブサマリ 2019年のサイバー救急センターでは、政府の定例会見でも注意喚起されたボット型マルウェアのEmotet（エモテット）に関する出動が急増しましたが、1年を通しては「ランサムウェア」、「標的型攻撃」、「クラウド」に関する出動が続きました。 クラウドサービスでは、昨年8月2

MicrosoftはWindowsのSMBv3に深刻な脆弱性（CVE-2020-0796）が存在するとして定例外で更新プログラムKB4551762を公開しました。ここでは関連する情報をまとめます。 この脆弱性は何？ Windows 10 など最新のOSに実装されているMicrosoft Server Message Block 3.1.1プロトコル（SMBv3）に脆弱性が確認された。 この脆弱性により、リモートから任意のコードを実行できる可能性がある。 Microsoftは脆弱性深刻度を「緊急」（Critical）と評価しており、3月12日に定例外で修正プログラムを公開した。 脆弱性はCVE-2020-0796が採番。JPCERT/CCによるCVSS（基本値）スコアは9.8（v3）*1 何故深刻な（話題となった）の？ 2017年以降多数の被害が発生したWannaCryのようなワーム型プログ

Chaos Communication Congressでの講演で、リサーチャーのファビアン・アイシング氏がPDFの暗号化強度の限界を示しました。 PDFは、仕様書によるとCipher Block Chaining（CBC）モードでAESアルゴリズムを使用した暗号化に対応しています。したがって、少なくとも理論上は、暗号化されたPDFファイルの中身を見ることができるのはパスワードを知っている人だけであるはずです。ドイツの複数大学のリサーチャーから成る調査チームは、PDFのセキュリティに関する研究の一環として、PDF形式での暗号化実装の信頼性をテストしました。ミュンスター応用科学大学のファビアン・アイシング（Fabian Ising）氏によって発表された研究結果は残念なものでした。 暗号化されたPDFファイルを企業が使用するのはどういう状況かと言えば、安全対策がされていない経路や信用できない経

AESは通信データの暗号化でよく使われる暗号化技術。Advanced Encryption Standardの略。 米国の国立標準技術研究所（NIST）は1997年、当時標準的に使われていた共通鍵暗号のDES（DataEncryption Standard）の安全性の低下から、DESに代わる共通鍵暗号を募集した。 そのときに集まった応募案の1つ、「Rijndael（ラインダール）」は暗号の解かれにくさ（強度）だけでなく、処理負荷や計算の速さでも評価され、2000年に選定された。これが、AESになった。 共通鍵暗号は、データをやりとりする送信者と受信者が同じ暗号鍵を使って、データの暗号化や復号を実行する。送信者と受信者が異なる暗号鍵を使う公開鍵暗号よりも、一般に暗号化や復号の処理にかかる負荷が低い。 そのためTLSや無線LANの暗号化通信では、送信者と受信者が公開鍵暗号を使ってAESなどの共

今回は S3 バケットへのアクセスを特定 IAM ロールからのみに限定して利用する機会がありましたので、設定方法と検討したあれこれをご紹介します。 やりたいこと 構成図はこんな感じ 前提条件 IAM ロールと S3 バケットは同一アカウントに存在する IAM ロールには S3 を管理する権限がアタッチされている 今回は AmazonS3FullAccess　ポリシーをアタッチしています NotPrincipal でやってみる 「特定 IAM ロール以外は制限する」という考え方でパッと思いつくのは、以下のような NotPrincipal で制限する方法かと思います。 バケットポリシー { "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "NotPrincipal": { "AWS": "arn:aws:iam::xxxx

","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"

エフセキュア 増加するIoTデバイスに対する攻撃は継続傾向に エフセキュアは、2019年下半期 (7月～12月) における攻撃トラフィックに関する調査レポートを発表しました。同期間においては、ランサムウェアの悪質化、感染したIoTデバイスのボットネット、『エターナルブルー (EternalBlue)』エクスプロイトによるサイバー攻撃が依然として多数観測されています。また、過去数年で比類のない攻撃トラフィックの急激な増加が見受けられました。 先進的サイバー・セキュリティ・テクノロジーのプロバイダであるF-Secure (本社: フィンランド・ヘルシンキ、CEO: Samu Konttinen、日本法人: 東京都港区、以下、エフセキュア) は、2019年下半期 (7月～12月) における攻撃トラフィックに関する調査レポートを発表しました。同期間においては、ランサムウェアの悪質化、感染したIoT

This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.

PayHOA, a previously bootstrapped Kentucky-based startup that offers software for self-managed homeowner associations (HOAs), is an example of how real-world problems can translate into opportunity. It just raised a $27.5…

このブログは、セキュリティのセの字もわからない素人が、セキュリティを勉強していく過程を綴ったものです。

Made with to serve the community by Check Point Research | Research blog | About Us | © 1994-2024 Check Point Software Technologies LTD | All rights reserved | Property of CheckPoint.com

テクニカルソリューションアーキテクトの金澤 (@ketancho) です。これから定期的に “How to be a Developer” カテゴリに記事を書かせてもらいますので、よろしくお願いします ! 私の普段の仕事については、この記事の最後に簡単ですが紹介しておりますので、よろしければ最後までご覧いただければと思います。 先月の builders.flash 公開の少し前に、「学生やこれから開発者を目指したい人の背中を押す記事を書いてみない ??」という話をもらいました。私自身、これからエンジニアを目指す方への支援はとても興味のある分野で、昨年は小学生から高校生が対象のものづくりのアワードの審査員（と書くと偉そうですね..）をさせてもらっています。そういう背景もあり、 builders.flash に寄稿させてもらうことになりました。 さて、何から書こうかなーと悩んでいたわけですが、

こんにちは。horsewin です。 概要 本記事の要点を先に書いておきます。 技術書典8 なくなっちゃって寂しいですね せっかく書いたので、「クラウドネイティブファーストストーリー」の書籍、PDFともに販売します 紙書籍はBOOTH、個人へのDM、とらのあななど様々な経路で対応します 2/29と3/1の技術書典8は開催中止 非常に残念ですが、昨今のコロナ事情により2/29, 3/1のイベントが中止になっています。 blog.techbookfest.org 今回執筆した本、「クラウドネイティブファーストストーリー」について 会社のめちゃくちゃできるエンジニアと共に執筆しました。 こんな本です。 どんな本？ クラウドネイティブを支える技術である「コンテナ」と「CI/CD(継続的インテグレーション/継続的デリバリー)」を中心トピックにご紹介します。 本書を通して、自分達が過去に悩んだ点、躓い

パスワードは複雑にする必要はない。ただ長くすればいい――。米連邦捜査局（FBI）のそんな勧告が話題になっている。根拠としているのは、米国立標準技術研究所（NIST）がまとめた最新版のガイドライン。破られにくく、かつ覚えやすい文字列を作り出すため、パスワードではなく「パスフレーズ」の使用を勧めている。 これまでパスワードといえば、アルファベットの大文字と小文字、数字や記号を使ってできるだけ複雑にするのが望ましいとされてきた。ところがNISTの勧告では、パスワードの複雑さよりも、長さの方が、ずっと大切だと説く。 そこで、長くてしかも覚えやすい文字列をつくりだす手段として提言しているのが、複数の単語を組み合わせたり文章をつなげたりするパスフレーズ。FBIは強いパスフレーズの一例として、「VoicesProtected2020WeAre」「DirectorMonthLearnTruck」などを挙げ

公式をよそおったメッセージに注意 10代の人たちは、SNSを、自らのメッセージを発信するメディアとしても活用している。たとえば、TikTokは、若い層がよく使っているショート動画SNSだ。一時期、YouTubeやTwitterなどへ積極的に広告を展開していたため、「利用してはいないが、広告を見たことはある」という人もいるだろう。ダンスや口パク（リップシンク）動画などが投稿されており、中高生などに高い人気をほこっている。 不特定多数に対して情報発信しやすいSNSは、現代社会では当たり前の存在になった。TikTokだけでなく、Twitter、YouTube、Instagramなど、「利用していない」人のほうがめずらしいかもしれない。インフルエンサーと呼ばれる存在が、またたく間に有名になる時代。有名人に限らず、一般人から発信視された情報が拡散されることもめずらしくない。今日においては、SNSを利

【2020/08/03 「デジタル・フォレンジック研究会」追加】 2015年に公開した以下の記事、そろそろ全体的に更新したくなったので新たに記事を作成しました。 security.nekotricolor.com リンク切れの修正が主ですが、多少追加・削除しています。間違いがありましたらtwitter等でお知らせいただけると大変助かります。 目次 目次 政府機関 セキュリティ関連団体 セキュリティベンダー その他団体 脆弱性情報（全分野） 脆弱性情報（ベンダ・開発者） Microsoft Apple Adobe Cisco Oracle WordPress その他 脆弱性情報（言語） 国内のニュースサイト 海外のニュースサイト 関連記事 政府機関 公式サイト 新着情報の場所 内閣サイバーセキュリティセンター What's New 経済産業省：情報セキュリティ政策 最新情報 総務省：サイバー