FinatextにおけるAWSのガードレール戦略の紹介
はじめにこんにちは、Finatextでエンジニアをしている @s_tajima です。 Finatextでは、現在約40個のAWSアカウントを管理しています。 それぞれのAWSアカウントは、あるサービス専用になっていたり、いくつかのサービスが同居していたり、本番環境用だったり、開発環境用だったりと用途は様々です。 この中には、 証券ビジネスプラットフォームのBaaS を提供しているAWSアカウントも含まれます。 このBaaSに限らずとも、金融ドメインで広くサービスを提供しているFinatextでは、その基盤となっているAWSのセキュリティの管理が非常に重要になってきます。 今回は、弊社がAWSのセキュリティを担保するためにどんな運用をしているかというお話です。 既に複数のAWSアカウントを管理している方、特に管理はしているもののいまいち適切な状態になっていないと感じている方に読んでいただけ
クラウドの方が先進的な形でコンプライアンスを実現できる (1/2)
3月10日の「JAWS DAYS 2018」に先立つ2月23日に開催されたSecurity JAWS 第8回勉強会では、Amazon Web Services（AWS）の桐山隼人氏が一足早く「AWSセキュリティエンジニアコミュニティ」の発足をアナウンスした。「一人で勉強するのは大変だけれど、皆でやればより効率的」（桐山氏）というわけで、専門家を招いてのラウンジや勉強会の他、AWSのCTFコンテンツ作成などを予定しているという。まずプレメンバーを募集し、3月10日に満を持して正式に発足となる予定だ。 金融業界水準のベストプラクティスを実践し、セキュリティのオートメーションを この日行なわれた他のセッションの模様もレポートしよう。「AWS FinTech リファレンス・アーキテクチャーで大手金融機関ばりのセキュリティを実現しよう（仮）」では、2017年12月7日に発表された「AWS Finte
「セキュリティ意識が低いCEOはあり得ない」、AWSのベンチャー向けイベントで議論
「わが社のCEO（最高経営責任者）のセキュリティ意識が低いが、どう解決していけばいいか」 「今の時代、それはあり得ない。そのような会社は、IPO（新規株式公開）してはいけない。目先の業績だけでなく、セキュリティにも投資するように、ベンチャー・キャピタリストをはじめ周囲が教育すべきだ」 こんなやりとりが行われたのは、2016年9月1日にアマゾン ウェブ サービス ジャパンが、ベンチャー企業を対象に開催した「AWS Startup Security Talks」だ（写真1）。ベンチャー企業に限らず、情報システムのセキュリティに関して「どれくらいのコストや労力をかけるべきか」は悩ましい問題である。今回のイベントは、そんな悩みを抱えるベンチャー担当者が、先駆者や専門家から考え方や対処方法を得る場所として企画されたものだ。 今回のイベントには、ベンチャー企業においてIPOやデュー・デリジェンス（資産
（緊急）複数のDNSソフトウェアにおける脆弱性（システム資源の過度な消費）について（2014年12月25日更新）
--------------------------------------------------------------------- ■（緊急）複数のDNSソフトウェアにおける脆弱性（システム資源の過度な消費） について（2014年12月9日公開） - BIND 9では権威DNSサーバーにも限定的に影響、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/12/09（Tue） 最終更新 2014/12/25（Thu） （米国The CERT Divisionの注意喚起・Vendor Informationへのリンクを追加） --------------------------------------------------------------------- ▼概要 BIND 9・Unbound・PowerDNS Recursorを含む複
模倣サイトとして各所から注意喚起が出されているサイトについて徳丸さんに聞いてみた
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、今話題の『模倣サイトとして各所から注意喚起が出されているサイト』についてお話を伺います。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。よろしくお願いします。 高橋: まず問題のサイトですが、NTT東日本、NTTドコモ、日本銀行、外務省、総務省など様々なサイトを模倣したサイトが見つかっていて、各社、各省庁が注意喚起をしているというものです。詳しくは、北河拓士さんのまとめをごらんください。 徳丸: これ、総務省のサイトだと、http://www.soumu.go.jp.○○○.org/ のように、ドメイン名の先頭が本物と同じだし、中身も同一だしで、見た人がびっくりしたのでしょうね。 高橋: はい。これはパクリのサイトではないのですか? 徳丸: パクリではありません。PROXYサーバーの一種で、元のサイトのアクセスして、その内容をそ
YDN「広告配信先レポート」が「firestorage.jp」のダウンロードリンク晒して炎上案件か？
これらの「配信先URL」にアクセスしてみると。 ああこれはダメなやつだ。 firestorageユーザーがアップロードしたファイルの「ダウンロードリンク」が、YDNの「広告配信先レポート」でモロバレです。 ダウンロードURLは40桁の英数字にて暗号化されていますので、アップロードされた方が他の方にお知らせしない限り、URLが知られることはありません。 いや漏れてるから。 ダウンロードページにリスティング広告を掲載するfirestorage側の注意不足でもあり、情報漏洩に直結しそうなURL情報をレポートで公開するヤフー側の不手際でもあり、さらにはオンラインストレージをパスワード設定無しで利用するユーザー側のセキュリティ意識の欠如でもあり。 ダウンロードファイル名から判断する限りではありますが、明らかに社外秘だろ的なものがいくつも含まれており、関係各位の今後の身の処し方が他人事ながら大変心配で
（緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年5月30日更新）
--------------------------------------------------------------------- ■（緊急）キャッシュポイズニング攻撃の危険性増加に伴う DNSサーバーの設定再確認について（2014年4月15日公開） ～問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨～ 株式会社日本レジストリサービス（JPRS） 初版作成 2014/04/15（Tue） 最終更新 2014/05/30（Fri） （対策に関するDNS運用者向け文書へのリンクを追加） --------------------------------------------------------------------- ▼最近の状況 最近、日本の大手ISPにおいてカミンスキー型攻撃手法によるものと考えら れるキャッシュDNSサーバーへのアクセスが増加している旨、JP
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
6月9日（日） に放映された「ほこ×たて」の「たて」の裏側について
2013/06/11 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 6月9日（日） に放映された「ほこ×たて」の「たて」の裏側について 2013年6月9日に放映されました、フジテレビ「ほこ×たて」に関しまして、反響が大きいようですので撮影の裏側をご紹介いたします。 まず、番組コーナー内の冒頭にご紹介いただきました弊社製品「防人」については、弊社がどのような会社なのかを簡単に紹介するということでお見せしましたが、防人はメールによる標的型攻撃を防ぐための製品ですので、その後の対決には一切使用していません。 実際の対決に際して防御側に求められたのは、サービスパックや修正プログラムの全く当てられていないパソコン上で、脆弱性が確実に存在しているサー
認証局を立ててぼろもうけしたいんですが＞無理な理由を理解しよう - Qiita
SSLの認証局とか証明書とか勉強し始めはホント難いよね このへんのSSL/TLSの仕組みって勉強し始めの頃は凄く難しく感じるのよね。分かりやすく解説してくれてるサイトってあんま見たこと無いし。 んで、 >>300,304 みたいなことは僕も昔考えたことあったわー、と懐かしみを覚えたのでレスってみた。 証明書を発行できるかどうかは証明書のフラグで決まっている、という >>303 の指摘も重要よね。 以下2chスレより引用 丁寧過ぎると評判のレスをしてるID:UyEJo1f2が僕なわけだがｗ 2chだとそのうち倉庫に行っちゃうかもしれないのでここにメモ。 【認証局】SSLに関するスレ 2枚目【ぼろ儲け】 http://hayabusa6.2ch.net/test/read.cgi/mysv/1286532904/298-309 298 ：DNS未登録さん：2013/05/31(金) 13:31
【拡散希望】twitterの新型ウイルスがヤバい URL踏んだだけでアウト
2020/10/18 エンジニア D4DJ Groovy Mix オープンベータ開始 2020/10/18 ＤＪ 秋葉原(を夢見る)パラダイスレイディオ Vol.1 @ twitch配信 2020/10/25 エンジニア D4DJ Groovy Mix リリース 2020/11/14 ＤＪ UNDER Freaks 2nd anniv. @ 渋谷Cafe W (渋谷WOMB 1F) (2013/03/01 14:40追記) twitter側で、このタイプのウイルスへの対策が取られ、「URLを踏んだだけでアカウントを乗っ取られる」という脅威は無くなりました twitterに出現した新型ウイルスが非常にヤバいので、対処法などをまとめてみました。 #正しくはウイルスではなく「攻撃サイト」ですが、脅威が伝わりづらいので釣り気味に「ウイルス」と書いてます。 (2013/02/28 23:08追記)：
『*.google.com』不正証明書問題、Android 4.Xでできる対策 | Geekles
トルコの認証局が中間CA証明書を誤って発行したことで、その電子証明書の交付を受けた組織によって、さまざまなGoogleサイト「*.google.com」へのなりすましが可能な偽の証明書が作成されてしまった。この問題に対し、各ブラウザベンダーやアップデートなどで問題の証明書を無効にする対策を講じている。 iOSやAndroid 2.3以下のAndroidの場合は、今すぐにできる対策はないが、Android 4.Xの場合はセキュリティ証明書の無効化ができるので、今すぐに対策ができる。 セキュリティ証明書の無効化方法「設定」→「セキュリティ」→「信頼できる認証情報」から、 問題の『TURKTRUST』の2つを無効にする。一度開いて、下までスクロールすると「無効にする」ボタンが表示されるので無効にできる。 2つともチェックを外しておく。 今回の対処を行うと、『TURKTRUST』が誤って作成してし
なぜあなたがウェブサイトをHTTPS化するとサイトが遅くなってユーザーが逃げていくのか - 射撃しつつ前転 改
完全に釣りタイトルですけど中身は真面目に書くよ。 近年、ウェブサイトのHTTPS化が流行のようになっている。私の知る限り、Googleの各種サービスやTwitter、Facebookなどが完全にHTTPSで通信を行うようになっている。HTTPS、つまりSSLによる通信の暗号化によって、ユーザにこれまでよりも安全なウェブサイトを提供できる。 しかし、あなたが作っているサイトをふと思いつきでHTTPS化してしまうと、たぶん、これまでよりもサイトが遅くなる。ここでは、HTTPSで通信する場合の問題を解説する。 なぜ遅くなるのか HTTPで通信する場合、クライアントがサーバへと接続するためにはTCP/IPの3ウェイハンドシェイクという手順が必要になる。めんどくさいのでここでは詳しくは説明しないが、要するにクライアントがリクエストを投げる前にパケットを１往復させないといけないのである。パケットの往復
Ruby on Railsのfind_by_*メソッドにSQLインジェクション脆弱性(CVE-2012-5664) | 徳丸浩の日記
Ruby on Rails(3.2.9, 3.1.8, 3.0.17以前)のfind_by_*メソッドにSQLインジェクション脆弱性が見つかりました(CVE-2012-5664)。このエントリではその概要と対策について説明します。 概要 Ruby on Railsのfind_by_*メソッドの引数としてハッシュを指定することで、任意のSELECT文を実行できる脆弱性があります。 検証 Ruby on Rails3.2.9の環境を用意して、以下の2つのモデルを用意しました。 $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserは個人情報を保持しており、自分自身の情報のみが閲覧できるという想定です。モデルBookは書誌データベースであ
最近 Android Market の売上レポートに購入者の個人情報が思いっきり入るようになってしまった件 - むらかみの雑記帳
'13/7/6 追記: Google Play の売上情報に、購入者の個人情報が入らなくなりました 注: '12/1/13、Google側が誤りであったことを認めたとのことです。詳細は一番下の追記参照。 最近、Android Market の売上レポートに購入者の完全な名前・住所・電話番号・メールアドレスなどが表示されるようになってしまい、少々困っています。 Android Market でのアプリ売上は Google Checkout というサイトで確認できるようになっており、それぞれの売上ごとに詳細なレポートを閲覧できるようになっています。以下はその中の抜粋です（個人情報は全部塗りつぶしています) 配送先というところに、購入者の完全な住所・名前・携帯電話番号・メールアドレスが入ってしまっています。この配送先は前からレポートには出ていたのですが、以前は情報は部分的なものでした（住所は番地
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ入門
AWS Startup Security Talks 事業価値を最大化するAWSセキュリティ
徳丸 浩(@ockeghem)のまとめ(15)
Infoseek[インフォシーク] - 楽天が運営するニュースサイト![Infoseek[インフォシーク] - 楽天が運営するニュースサイト](https://cdn-ak-scissors.b.st-hatena.com/image/square/7ef5f0485bea9870f5d594a45b77aac32c89f9b0/height=288;version=1;width=512/https%3A%2F%2Fimage.infoseek.rakuten.co.jp%2Fcontent%2Fnews%2Fog%2Finfoseeklogo.png)
はてなダイアリーのヘルプ - はてなダイアリーXSS対策
