サーバーレスのセキュリティリスク - AWS Lambdaにおける脆弱性攻撃と対策 - Flatt Security Blog
はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、AWS Lambda で起こりうる脆弱性攻撃やリスク、セキュリティ対策を解説し、サーバーレスにおけるセキュリティリスクについて紹介します。 はじめに AWS Lambda について サーバーレスにおけるセキュリティリスク AWS Lambda で起こりうる脆弱性攻撃 Lambda での脆弱性攻撃によるリスク 脆弱性攻撃による更なるリスク OS Command Injection XML External Entity (XXE) Insecure Deserialization Server Side Request Forgery (SSRF) Remote Code Execution (RCE) AWS Lambda におけるセキュリティ対策 セキュリティ
カード業界の厳しいセキュリティと開発スピードをどう両立？ Kyashに学ぶAWS活用
急成長中のスタートアップ企業は、多様なAWSサービスをどう選択・活用し、ビジネス課題を解決しているのでしょうか。本連載では、スタートアップ企業の中でエンジニアリングをリードしている担当者がそのアーキテクチャをひも解き、AWS活用術を紹介していきます。第5回はKyashでSREを担当する上原佑介氏が担当、テーマは「セキュリティ」です。記事の最後には、SAによるポイント解説もあります。（編集部） はじめに 株式会社KyashでSREを担当する上原佑介と申します。新卒でインフラエンジニアとしてサーバー構築・運用を経験したのち、Webサービスの運営企業を数社経て、Kyashへ入社しました。現在はサービス全体の信頼性向上を目指して、システム基盤や運用面の改善に取り組んでいます。 Kyashについて Kyashはスマートフォンアプリと連動するVisaカードです。 コンビニなどから現金をチャージして使え
Docker 等で使用する runc の権限昇格に関する脆弱性 (CVE-2019-5736) について
2019年2月12日 (現地時間) に Docker コンテナ 等で使用する runc に関する脆弱性 (CVE-2019-5736) が公開されました。本脆弱性を悪用して細工したコンテナをユーザが実行した場合、ホスト上の runc バイナリが意図せず上書きされます。結果として、コンテナが起動しているホスト上で root 権限でコマンドが実行できるようになります。 なお、本脆弱性の実証コードは 2019年2月12日現在公開されていませんが、報告者によると実証コードは 2019年2月18日 (現地時間) に公開予定とのことです。 本脆弱性を悪用するコンテナは次のようなケースが想定されています。 1) 攻撃者により改変されたイメージファイルを用いて作成されたコンテナ 2) 攻撃者が書き込み権限を取得している既存のコンテナ 本脆弱性は 2019年2月12日時点で runc のすべてのバージョンが
政府統一基準対応のセキュリティリファレンス、AWS版を無償提供（富士ソフト、PwCあらた） - ScanNetSecurity ｜ This Kiji
富士ソフト株式会社とPwCあらた有限責任監査法人などは12月25日、内閣サイバーセキュリティセンター（NISC）が制定した政府統一基準（平成30年度版）に対応したセキュリティリファレンスを作成し、同日より政府機関向けに無償提供を開始したと発表した。同リファレンスは、クラウドサービス「アマゾン ウェブ サービス」（AWS）環境におけるセキュリティ対応策の詳細を、網羅的に提示するもの。 NISCは2018年7月25日に、国内の政府機関が準拠すべき指針「政府機関等の情報セキュリティ対策のための統一基準」（政府統一基準）を改定し、サイバーセキュリティ対策の導入推奨やIoT機器などの新たなデジタルデバイスを政府統一基準の対象として明確化するなど、政府情報システムの将来像を見据えた内容を追加し、平成30年度版として公開している。 同リファレンスは、国内の行政機関および独立行政法人などに向け、AWSクラ
Amazon Web Services ブログ
Amazon One で空港での体験を合理化 昨今の空港においては、フライトに搭乗するまでの時間をより楽しく、充実したものにするために、さまざまな環境・設備 […] AWS IoT FleetWise ビジョンシステムデータ (プレビュー) の発表 本日、AWS IoT FleetWise が車両のビジョンシステムデータ収集をサポートすることを発表します。こ […] Amazon Textractによるテーブル抽出機能の強化 Amazon Textractは、あらゆる文書や画像からテキスト、手書き文字、データを自動的に抽出する機械学習（ML）サービスです。Amazon Textractには、あらゆるドキュメントから表構造を自動的に抽出する機能を提供するAnalyzeDocument API内のTables機能があります。この投稿では、Tables機能に加えられた改良点と、様々な文書からテー
AWSが独自のOpenJDK「Amazon Corretto」発表。AWS内部で使っていたJavaを外部提供へ。Java 8は2023年まで、Java 11は2024年まで無償でLTSを提供
AWSが独自のOpenJDK「Amazon Corretto」発表。AWS内部で使っていたJavaを外部提供へ。Java 8は2023年まで、Java 11は2024年まで無償でLTSを提供 Amazon Web Services（AWS）は、OpenJDKのディストリビューション「Amazon Corretto」を発表しました。 Introducing Amazon Corretto – No-cost, multiplatform, production-ready distribution of OpenJDK! #corretto @Devoxx https://t.co/IFgyCXclRr pic.twitter.com/nIW5M6CIMX — AWS Open Source (@AWSOpen) 2018年11月14日 CorrettoはJavaでLTSが提供される2つのバ
クラスメソッドで働く若手AWSエンジニアによる転職ガイド | DevelopersIO
クラスメソッドAWS事業部所属の阿部 洸樹です。 現職は2015年10月にJoinしました。年数でいうと3年目です。 "転職ガイド"など銘打ってみましたが、人にアドバイスできるほど転職していませんし、そんな立場でもありません。 私が転職の前後で考えていたことや今考えている事を共有したら、AWSエンジニアにjob changeしようとしているかたの参考になるかもと思い筆を取ることにしました。 私は事業部の最年少（多分）なので、若手エンジニアの参考になるもしれません。 AWSエンジニアやクラスメソッドに興味のある方は、読んでみてください。 内容は私の主観によるものが多いです。 転職前のこととそのきっかけ 前職の経歴 新卒で入社した前職は主にプライベートクラウドの構築と運用を行なっていました。 職種でいうとインフラエンジニアで運用の比重が多かったです。 サーバー構築、問い合わせ対応、障害対応など
AWS運用担当者のためのセキュリティ入門 | DevelopersIO
はじめに AWSの運用構築をまかされたインフラエンジニアのかたに向けて、セキュリティで考えるべき視点と代表的なソリューションをご紹介します。 AWSでのセキュリティを考える前に、私達自身のセキュリティを考えてみましょう。 "外出前に鍵をかける"、"ひとけのない道はなるべく通らない"など最低限やっておくべき対策があります。 たくさんのお金をかけてボディガードを雇っても、鍵をあけて外出しては意味がありません。 AWSのセキュリティ対策も同様です。 追加のコストを払ってセキュリティソリューションを導入する前に、最低限やっておくべき対策があります。 特に代表的なものをご紹介します。 出所が不明なAMIは使わない EC2の作成元となるAMI（マシーンイメージ）は誰でも公開できます。 中には悪意のあるソフトウェアが含まれるAMIも含まれます。 AWSや信頼できるベンダーが提供するAMIを使いましょう。
AWSアカウントを取得したら速攻でやっておくべき初期設定まとめ - Qiita
AWSアカウントを作成したら最初にやっておきたいことをまとめてみた。 あわせて読みたい 本記事の内容を含めた最新の手順は、下記の書籍にまとまっている。 クラウド破産を回避するAWS実践ガイド AWSアカウント（ルートアカウント）の保護 AWSアカウントが乗っ取られると詰むので、真っ先にセキュリティを強化する。 AWSアカウントへ二段階認証を導入 AWSアカウントでのログインは、AWSアカウント作成時のメールアドレス・パスワードだけでできてしまう。心許ないにもほどがあるので、まずは二段階認証を設定しよう。 IAMのページを開く https://console.aws.amazon.com/iam/home 「ルートアカウントのMFAを有効化」を選択して、「MFAの管理」ボタンをクリック 「仮想MFAデバイス」にチェックが入っていることを確認し、「次のステップ」ボタンをクリック 注意書きを読ん
AWSにおけるSSL証明書の基本的な取扱い | 外道父の匠
多くの企業が、今年中にWebサービスの暗号化を進めなくてはいけなくなったかと思います。 Webに接続するiOSアプリは2017年1月からHTTPSの使用が絶対条件になる、デベロッパーはご注意を | TechCrunch Japan ということで、基本的な内容ではありますが、AWSにおけるSSL証明書の扱いについて復習してみます。 AWSで扱う証明書の種類 ここでいう種類とは、EV SSL だの ワイルドカードだの、証明書の製品としての種類ではありません。 １つは AWS Certificate Manager（以下、ACM）の無償証明書、もう１つは従来のSSLサーバ証明書販売サイトで購入する有償証明書、の２種類となります。 それぞれの証明書を、AWSのリソースにどのように登録し、運用していくかについてまとめていきます。 ACMの証明書を利用する 2016年1月にリリースされ、5月にはTok
Aws certificate managerを使ってみたよ
一部質問があったことなどを追記しています。 また公開用資料として見やすくするため、Keynoteの動きを制限修正しています。
New – AWS Application Load Balancer | Amazon Web Services
AWS News Blog New – AWS Application Load Balancer We launched Elastic Load Balancing (ELB) for AWS in the spring of 2009 (see New Features for Amazon EC2: Elastic Load Balancing, Auto Scaling, and Amazon CloudWatch to see just how far AWS has come since then). Elastic Load Balancing has become a key architectural component for many AWS-powered applications. In conjunction with Auto Scaling, Elasti
AWS News Blog
AWS Weekly Roundup – Amazon MWAA, EMR Studio, Generative AI, and More – August 14, 2023 While I enjoyed a few days off in California to get a dose of vitamin sea, a lot has happened in the AWS universe. Let’s take a look together! Last Week’s Launches Here are some launches that got my attention: Amazon MWAA now supports Apache Airflow version 2.6 – Amazon Managed Workflows for Apache Airflow […]
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[AWS初心者向けWebinar] 利用者が実施するAWS上でのセキュリティ対策![[AWS初心者向けWebinar] 利用者が実施するAWS上でのセキュリティ対策](https://cdn-ak-scissors.b.st-hatena.com/image/square/9289b6f0189c9d2e461ebd413f2ec637486cb80c/height=288;version=1;width=512/https%3A%2F%2Fcdn.slidesharecdn.com%2Fss_thumbnails%2F20151217-aws-security-151218023451-thumbnail.jpg%3Fwidth%3D640%26height%3D640%26fit%3Dbounds)