CMSツールをよりセキュアに導入しよう― ＠IT
第1回 CMSツールをよりセキュアに導入しよう 面 和毅 サイオステクノロジー株式会社 OSSテクノロジーセンター 開発支援グループ グループマネージャー 2007/5/23 Red Hat Enterprise Linux 5でも注目されるSELinuxの機能、Linuxに精通したエンジニアでも難しい単語や概念が並ぶことから、どう活用すべきか分からず機能をオフにしてしまっている場合も多い。今回の連載ではSOHOや社内サーバ管理に直結した、実務でSELinuxを使うための事例を中心に紹介する（編集部） SELinuxは運用のステージへ 2000年にSELinuxがオープンソースとして公開されてから、かなりの年月がたとうとしています。導入方法も、公開当時のころの2.4カーネルにパッチをあてる形から、現在のようにRed Hat Enterprise Linuxやそのほかの主要なディストリビュー
Ywcafe.net
Ywcafe.net This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: find a tutor Credit Card Application music videos song lyrics Online classifieds Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy|Do Not Sell or Share My Personal Information
Open Tech Press | SSHのセキュリティを高めるためのハウツー
SSHサーバの設定ファイルは/etc/ssh/sshd_configとなっている。このファイルを変更した後は、変更を反映させるためにその都度SSHサービスを起動し直す必要がある。 SSHが接続を待ち受けるポートの変更 SSHはデフォルトでは22番ポートで接続を待っている。攻撃者はポートスキャナを使ってホストがSSHサービスを実行しているかどうかを把握するが、（nmapを含め）大抵のポートスキャナではデフォルトでは1024以上のポート番号のスキャンは行なわれないため、SSH用のポートを1024以上の番号に変更しておくのが賢明だ。 具体的には、/etc/ssh/sshd_configファイルを開き、以下のような行を見つけて変更する。 Port 22 この行でポート番号を変更したら、以下のようにしてSSHサービスを起動し直そう。 /etc/init.d/ssh restart SSHプロトコル2
SQL Injection Cheat Sheet
Examples; (MS) means : MySQL and SQL Server etc. (M*S) means : Only in some versions of MySQL or special conditions see related note and SQL Server Table Of Contents About SQL Injection Cheat Sheet Syntax Reference, Sample Attacks and Dirty SQL Injection Tricks Line Comments SQL Injection Attack Samples Inline Comments Classical Inline Comment SQL Injection Attack Samples MySQL Vers
情報処理推進機構：セキュリティセンター：対策のしおり - ボット対策、スパイウェア対策 -
本資料はウイルス感染や情報漏えいやシステム停止などのインシデントが起きた場合に被害や影響範囲を最小限に抑えるための対応ポイントをまとめたものです。 本資料は「情報漏えい発生時の対応ポイント集」の後継資料になります。 中小企業のためのセキュリティインシデント対応手引き 本書は「中小企業の情報セキュリティ対策ガイドライン」の付録になります。 同ガイドラインと合わせてご活用ください。 関連資料：中小企業の情報セキュリティ対策ガイドライン これまで公開していた「情報漏えい発生時の対応ポイント集」はこちらです。 情報漏えい発生時の対応ポイント集(PDF:775 KB) お知らせ (1)「IPAセキュリティマネジメントのしおりシリーズ」を廃止しました。 今後は”中小企業の情報セキュリティガイドライン”などをご参照ください。 (2) 「クラウドサービス安全利用のすすめ」を廃止しました。 今後は中小企業の
PukiWiki 【FrontPage】
なんだかやけに長い説明ばかり検索に引っかかったので書きました。 Linuxのローカル環境でDockerコンテナ内のXアプリ（GUIアプリ）を利用するには $ xhost localhost + を実行した後に $ docker run --rm --net host -e "DISPLAY" container_image_name x_app_binary_path とすれば良いです。 もっと読む SSHなどよく知られたサービスポートで何も対策せずにいると数えきらないくらいの攻撃リクエストが来ます。不必要なログを増やしてリソースを無駄にし、もし不用意なユーザーやシステムがあると攻撃に成功する場合もあります。 SshguardはC作られており、flex/bisonのパーサールールを足せば拡張できますがカスタム版をメンテナンスするのも面倒です。必要なルールを足してプルリクエストを送ってもマー
Checklist for Securing PHP Configuration | Ayman Hourieh's Blog
The Apache/PHP/MySQL stack is immensely popular for web application development. Its components are powerful, versatile and Free. Unfortunately however, PHP comes with a default configuration that is not suitable for production mode, and may cause developers to use insecure techniques during the development phase. Inside is a check list of settings that are intended to harden the default PHP insta
IEEE802.1X
LANにパソコンをつなぐとそのパソコンは，LANにつながる他のパソコンと自由に通信できる。LANにはこうした便利な点がある半面，誰でもLANにつながったパソコンにアクセスできるというセキュリティ面の問題がある。 そこで現在は，LANにつながったユーザを認証し，認証に成功したマシンだけにLANを利用させるIEEE（アイトリプルイー）802.1X＊1という方式が，有線LANと無線LANの両方で使われつつある。今回は，平成17年度のテクニカルエンジニア（ネットワーク）試験で出題されたIEEE802.1Xに関する問題（午後I問2）に取り組もう。 問 ネットワークの構築に関する次の記述を読んで，設問１～２に答えよ 医療用電子機器の製造販売業を営むＦ社の営業部門には，50名の営業担当者がおり，社内LANに接続されたパソコン（以下，PCという）を利用しているほか，容易に持ち運びができるモバイル端末も貸与
「Windowsマシンへの不正アクセスを発見」---そのとき，どうする？
「Windowsマシンへの不正アクセスを発見」---そのとき，どうする？ Windowsにおける証拠保全の具体的手順 自分が管理するシステムにおいて不正アクセスを見つけた場合，まずなすべきことは証拠保全である。影響範囲や原因を特定するためには，その時点でのシステムの状態をきちんと記録／保存しておかなければならない。 証拠保全の手順などについては，インターネット上で関連する情報を見つけられるし，関連書籍も複数発刊されている。しかしながら，具体的な作業例はUNIX系のOSについて書かれているものがほとんどで，Windows OSについてはあまり情報がない。特に，日本語で書かれた情報はほとんど見かけない。 そこで本稿では，Windowsマシン上で不正アクセスが見つかった場合の対処法を紹介したい。特に，失われやすい情報（揮発性の高いデータ）の証拠保全に焦点を絞って順を追って解説する。揮発性の高いデ
社内ネットの安全性を高めたい
社内ネットワークを守るには，ファイアウォールで外からの攻撃を防ぐ対策はもちろん必要だが，それだけでは不十分。LANの内部にあるパソコンやネットワーク機器でも個別に守りを固める必要がある。 その第一歩としてすぐにでもやっておきたいのが，「ポート・スキャンによる開きポートの調査」と「Windowsのログイン用パスワードの強化」─の二つである。ほかにもやるべきこと＊はたくさんあるが，まずはフリーソフトを活用して基本ともいえるこの二つを実行することから始めよう。 ポート・スキャナで穴を見つける 社員が勝手に自分のパソコンでサーバーとして動く（＝待ち受けポートを開ける）ソフトを動かしていたり，VPNソフトを使って外にトンネルを掘っていたりすると，ネットワーク経由で侵入されて踏み台にされる危険がある。 そうした行動を勝手にとらないよう呼びかけることは当然必要だが，呼びかけに全員がちゃんと応じてくれると
鍵の9割は10本の合い鍵のどれかでいとも簡単に開いてしまう
安物の鍵であろうが高級な鍵であろうが、古典的な形式を採用した鍵であれば、わずか10本の合い鍵（というかそういう鍵）を利用することであっという間に開いてしまうという戦慄のムービー。鍵の形状やピン数さえ合えば、最短だと開けるのに要するのはわずか数分どころか、ほんの数秒。 平均すると、3分以内に80％の鍵はダメージを与えることなくこの方法で解錠が可能で、50％以上は1分以下で解錠可能だそうです。「ダメージを与えることなく」というのがポイントで、破られたことにすら気がつかないわけで…。 鑑賞は以下から。 YouTube - Bump keying 上記ムービーはオランダの「NovaTV」による取材結果のドキュメンタリーで、取材を受けたこの技術について詳しい「TOOOL」のページには元の高解像度版ムービーが置いてあります。ちゃんと英語の字幕付き。どうやら許可を得た上でサイトにて配信を行っているようで
mod_securityでWebサーバを守る(第1回)
一体、Webサイトを持たない組織は今どれくらいあるでしょうか。 Webサーバを自前で持つ、ホスティングサービスを利用する、など運用形態はさまざまですが、Webサイトを持たない組織はほとんどないと思える程に Webは普及しています。 ファイアウォールはほとんどの組織で導入済みであり、多くのWebサーバはファイアウォールの中で運用されているのが一般的です。 しかしながら、最も普及しているファイアウォールはIPアドレス、ポートレベルでのフィルタリングです。この方法でのフィルタリングでは、許可していないサービスが持つ脆弱性を狙った攻撃を阻止できるため有用ではありますが、HTTPを許可している場合Web自体への攻撃に対して無力です。一方で、HTTPを不許可にした場合にはWebサイトへアクセスできなくなってしまうため本来の目的を達成できません。しかもここ数年、Webサイトを狙ったワームや不正アクセスは
BIOSパスワードをバイパスする方法あれこれ - GIGAZINE
BIOSというのはキーボードなどの周辺機器を制御する一種のプログラムで「Basic Input and Output System」の略。Windowsなどの各種OSが起動する前に起動して認識してくれるわけです。なので、このBIOSの起動時にパスワード入力が必要なようにするという手段も多いわけです。 で、このBIOSパスワードをバイパスする方法がいろいろあるわけです。 注：以下、自己責任でご使用下さい。真偽は分かりません。 How to Bypass BIOS Passwords Award BIOS、AMI BIOS、Phoenix BIOS、ならびにその他のよく使われているパスワード、DELL、IBM、東芝などのよく使用されているBIOSパスワードが掲載されています。 なお、この記事によると東芝のBIOSは左のシフトキーを押しながら起動するとバイパスできるそうです。 IBMのAptiv
これだけは知っておきたいアルゴリズム〜ハッシュ関数・公開鍵暗号・デジタル署名編 ― ＠IT
これだけは知っておきたいアルゴリズム ～ハッシュ関数・公開鍵暗号・デジタル署名編：デファクトスタンダード暗号技術の大移行（4）（1/3 ページ） 前回の共通鍵暗号の紹介に引き続き、安全性・処理性能ともに優れていると国際的に認められ、米国政府標準暗号、欧州のNESSIEや日本のCRYPTREC（Cryptography Research ＆ Evaluation Committees）での推奨暗号、ISO/IEC国際標準暗号、インターネット標準暗号などで共通して選定されているハッシュ関数・公開鍵暗号・デジタル署名について紹介する。 共通鍵暗号ではアルゴリズムそのものを代替わりさせることによって、より安全でより高速なものへと移行することが可能である。これに対して、ハッシュ関数、公開鍵暗号、デジタル署名ともに、アルゴリズムそのものを代替わりさせるというよりも、基本的にはほぼ同じ構成のままハッシュ
［MySQLウォッチ］第27回 MySQL 5.0 および 4.1 にSQLインジェクションのセキュリティ・ホール
先日，MySQL 5.0 および 4.1 に関してSQLインジェクションの危険性に対応するためにバージョンアップが行われた。 SQLインジェクションとは，入力されたデータにより意図せざるSQL文が実行されてしまうという攻撃である。データベースのデータを書き換えられたり，データが読み出されることにより情報が漏洩したりする恐れがある。セキュリティ・ホールというとWebサーバーやWebアプリケーション言語の専売特許だという印象があるが，データベースにも存在する。十分な注意が必要である。 以下，SQLインジェクションの原理と，MySQLに存在した問題の詳細とその対応について解説する。問題の発見から修正にいたるやりとりはWeb上で公開されており，誰がいつ問題を指摘し修正したのかもたどることができる。 mysqli_real_escape_string()関数によるSQLインジェクションの防止 プログ
「TCP/IPに係る既知の脆弱性に関する調査報告書」を公開：IPA 独立行政法人 情報処理推進機構
コンピュータをはじめとしたインターネットに接続する電子機器には、インターネットの標準的な通信手順を実現するためのTCP/IPソフトウェアが組み込まれています。近年では、一般のユーザが利用する情報家電や携帯端末などの電子機器にも使われるようになり、TCP/IPソフトウェアは広く利用されています。 これらのTCP/IPソフトウェアは、これまで多くのセキュリティ上の脆弱性が公表されてきました。脆弱性情報が公表されると、それに対応した対策情報も公表され、機器ごとに脆弱性対策が実装されてきました。これらの脆弱性は、内容を理解するためには高度な技術力を必要としますが、詳細な情報をとりまとめた資料がなく、このため、新たに開発されるソフトウェアにおいて、既に公表されている脆弱性対策が実装されていない場合が数多く見受けられます。 今回の調査報告書は、このような課題に対し、既に公表されているTCP/IPに係る
OpenSSH を使った簡易 VPN の構築
概要 2006年 2月に公開された OpenSSH 4.3 (およびその移植版 4.3p1) から、 標準でトンネリングデバイス (tun/tap) を扱う機能がつきました。 これを使うと、手軽に VPN を構築することができます。 現在のところまだ機能はごく限られたものですが、 出先から一時的に ssh 経由で NFS ディレクトリを マウントするなどの目的に使えます。 この文書ではそのための基本的な方法を説明します。 OpenSSH の設定と運用ができ、公開鍵認証の使い方を わかっているシステム管理者を対象としています。 公開鍵認証とは: パスワードのかわりに秘密鍵と公開鍵のペアを使う認証方法です。 通常のパスワードを使った認証では、 たとえ暗号化されているとはいえパスワードがネットワーク上を流れます。 公開鍵認証ではパスワードはまったく (暗号化された形ですら) ネットワーク上に流れ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CodeZine：Rubyを使ってWebアプリケーションの脆弱性を早期に検出する（Web, テスト, Ruby）
セキュリティ脆弱性研究に役立つWebサイト：ITpro
http://www.new-akiba.com/netrunner/tools/archive/archive060630-1.html