普通のLinuxから難攻不落のQubes OSに乗り換えてみた - /ft/'s blog
わたしはパソコンOSとしてLinux MintやUbuntu, FedoraなどのLinuxディストリビューションを使い続けてきましたが、ここ最近パソコンのセキュリティを大幅に強化するため Qubes OSを使うようになりました。以下ではQubes OSに関心がある人向けに、Qubes OSとはどんなものなのか記事を書いてみました。 Qubes OSって何? エドワード・スノーデンとQubes OS Qubes OSを採用しているところ Qubes OSのしくみ Qubes OSの仮想化: 一見どこに仮想化が使われているのか分からないのが特徴 Appキューブ: untrusted, personal, work, vault, anon-whonixなど Qubes OSのセキュリティモデル ワークスペースを使って画面を整理する テンプレート: ルートディレクトリをappキューブに供給する
CSRF(Cross-Site Request Forgery)攻撃について
ふと気になって調べたことの備忘メモです ✍ （2022/11/3追記）ご指摘頂いた内容を踏まえて加筆修正をおこないました なぜ調べたか Webアプリケーションの開発に携わっていると CSRF という脆弱性への対処を求められますが、多くの場合利用しているフレームワークが設定追加だけで対応してくれたり、既に前任者によって適切な処置がされていたりなど、実務上で目を向ける機会はその重要性と比較して少ないのでないかと思います また、Webブラウザの実装やHTTP周辺の関連仕様の変化から陳腐化している情報も多く、現代において全体感と具体的な対処法を理解するには少しばかりハードルが高いように感じていました ですので、自身の現時点での認識を明文化して残しておくことにしました なお、私はWebセキュリティの専門家でなく、一介の開発者のため、誤りが多分に含まれる可能性があります ご指摘を頂ければ修正したいと思
セキュリティエンジニアにセキュリティ技術情報収集のやり方を聞いてみた - ラック・セキュリティごった煮ブログ
こんにちは、かすたーど先生です。 セキュリティ業界を目指している学生さんとお話しする機会がたまにあるのですが、「セキュリティエンジニアの方は、どうやってセキュリティ技術に関する情報収集しているんですか？」と聞かれることがよくあります。 情報収集の方法って、学生さんももちろん、セキュリティエンジニアの方同士も「他の人はどうやっているんだろう？」と思っているネタなのではと思いまして、今回ブログのテーマにすることにしました。 ということで、私と同じデジタルペンテスト部に所属している一部のセキュリティエンジニア約30名に協力してもらい、セキュリティ技術の情報収集に関するアンケートを実施しました。結果をご紹介します。 １：セキュリティ技術の情報収集は何を使って実施していますか（複数回答可） 1位：Twitter 2位：ニュース系サイト 3位：書籍・ブログ（同数） 4位：脆弱性情報データベース 5位：
HDMIケーブルはどんな制御信号を送っているのか 悪意ある「BadHDMI」を見分けるために知っておくこと
Kernel/VM探検隊はカーネルや仮想マシンなどを代表とした、低レイヤーな話題でワイワイ盛り上がるマニアックな勉強会です。mzyy94氏はRaspberry Piを使用してHDMIを調査した結果について発表しました。 HDMI制御系に存在する2つのプロトコル「CEC」「DDC」 mzyy94氏：「HDMI探検隊」と題して、LT（ライトニングトーク）をお送りします。自己紹介はさっくりと。元セキュリティ系で今は映像系をやっているエンジニアです。 探検に行く前に「みなさん、HDMIをご存じですか？」というところから、基礎を押さえておきましょう。 知っている人がほとんどだと思いますが、HDMIは、映像と音声を送る端子とケーブル、そしてその通信規格のことです。イーサネット通信や、制御系としての機器コントロールや、ディスプレイコントロールなどもできます。今回はこのHDMI制御系の探検をしていきたいと
アクセンチュア
社会が流動的になる中、あらゆるものが解体・再構築されようとしています。今後1年とそれ以降に機会となり得るものとは？人々とビジネス、テクノロジーの関係の変化を5つのトレンドで紹介します。
FireHOLで公開されているIPブラックリストを楽に適用する話 - 技術部門のBlog
夏休み明けに考えたいセキュリティ強化の話です。 インターネット上にサーバを公開すると、ものの数時間で大量の攻撃を受け始めます。 攻撃を受けていることは、サーバのログを見ると確認できます。 例えばsshサーバに大量の認証失敗ログが残っている場合、それはsshにブルートフォース攻撃を受けている証拠です。 長いパスワードや公開鍵認証、脆弱性のないサーバやWebアプリケーションを使っていればこのような攻撃が成功する可能性はきわめて低いのですが、攻撃のログを見るのは全く気持ちの良いものではありません。 そのような攻撃を手軽に防ぐ方法としてIPブラックリストがあります。 FireHOLプロジェクトで提供されている良質なIPブラックリストを簡単に適用できるDocker imageを作成しましたので、今回はそれを紹介します。 使い方 本Docker imageを使うにはまず、Dockerをインストールして
意外に怖いDockerブリッジネットワークの話とその対策 - 技術部門のBlog
夏休みに考えたいセキュリティの話です。 ここ数年、普及期を迎えているDockerですが、細かく突っ込んでみると危ない部分があったので、知見を共有するとともに対策を紹介します。 セキュリティが緩いDockerブリッジネットワーク Dockerには複数種の仮想ネットワークを作成する機能があり、「ブリッジネットワーク」はその中でも最もよく使われる仮想ネットワークです。 オプションなしでコンテナを起動すると、コンテナは「bridge(docker0)」というブリッジネットワークに接続され、コンテナ間の通信や外部通信はそこを通して行われます。 また、最新のDockerでサポートされたswarm modeを使う場合、コンテナには「ingress」というコンテナ内で立ち上げたサーバのポートを外部公開するための特殊ネットワークと、「docker_gwbridge」というインターネットアクセスを提供するブリ
「Docker Hub」ポータル、著名コンテナの20％に設定ミス
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Kenna Securityは米国時間5月20日、「Docker Hub」上で広く利用されている1000の「Docker」コンテナのうち、およそ20％がある種の条件下でユーザーシステムに対する攻撃を許す設定になっていることを明らかにした。 これは、Cisco Talosが8日に明らかにした、公式版の「Alpine Linux Docker」コンテナに存在する脆弱性と同じ問題と言える。Alpine Linux Dockerイメージは過去3年間にわたり、パスワードを空白にした管理者アカウントが有効な状態でリリースされていた。 Kenna Securityの主席セキュリティエンジニアであるJerry Gamblin氏は、Docker Hub上
Top ten most popular docker images each contain at least 30 vulnerabilities | Snyk
Welcome to Snyk's annual State of Open Source Security report 2019.This report is split into several posts: 88% increase in application library vulnerabilities over two years 81% believe developers should own security, but they aren’t well-equipped Open source maintainers want to be secure, but 70% lack skills Top ten most popular docker images each contain at least 30 vulnerabilities ReDoS vulner
攻撃者視点で見る Service Worker / PWA Study SW
PWA Study( https://web-study.connpass.com/event/65267/ ) で発表した資料です。
不正アクセスからサーバを守るfail2ban。さくらのクラウド、VPSで使ってみよう！ | さくらのナレッジ
こんにちは。さくらインターネットの前佛です。 今回は、サーバのログファイルを自動スキャンして、悪意のある SSH 通信を自動遮断するツール fail2ban の概要と使い方をご紹介します。 日々、不正アクセス インターネット上のサーバは、SSH や HTTP など、公開しているポートに対する不正アクセスの試みに日々晒されています。不正アクセスは悪意を持った人からの攻撃だけではありません。マルウェアやワームなど、いわゆるボットからの攻撃にも日々晒されているのです。 そのため、誰でもアクセス可能なパブリックな環境にサーバを公開する場合、セキュリティに対して細心の注意を払う必要があります。 たとえば、近年話題になっている Linux 向けのマルウェアとしては XOR.DDoS が有名です。これは root ユーザのパスワードに対する総当たり攻撃（broute-force attach）を試みます
正規表現でのメールアドレスチェックは見直すべき – ReDoS
(Last Updated On: 2018年8月13日)前のエントリでStackExchangeがReDoSで攻撃されサイトがダウンした問題を紹介しました。少しだけ掘り下げて見たところ、正規表現だけでメールアドレスをチェックしている場合、壊滅的なReDoS（十分短い文字列で指数関数的に実行時間が増加する）が可能なことが判りました。 結論を書くと、正規表現でのメールアドレスチェックは見直すべき、です。（特にRubyユーザー） 追記：影響範囲はメールアドレスチェックに限らないので、正規表現チェックは全体的に見直さないと、どこが脆弱なのか判りません。見直してチェックしたとしても、それが完全であったと保証することは困難です。ネット検索して直ぐに見つかった検索パターンは非常に脆弱であったこと、メールアドレスのマッチパターンは脆弱になりやすい繰り返しの繰り返しが含まれること、これらがあったのでタイト
[Raspberry Pi]ユーザ名変更の個人的に「正しい」と思うやり方 | 純規の暇人趣味ブログ
みなさんのPi、焦げずに運用できていますか？ Raspberry Piをサーバとして利用する場合のセキュリティ対策などで「新しいユーザを追加して、Piユーザを削除する」という手法が紹介されていますが、個人的にあまり良くないと思うのでよりよい手法をご紹介しようと思います。 piユーザを消さないで なぜ「あまり良くない」と思うのかを手っ取り早く説明しようと思います。 みなさんがインストールしているRaspbianなどは正確には「インストールした」のではなく「インストールされてある物をコピーした」が正しいのです。 そうなると何がマズいかと言うと、「piユーザが作成したファイルがどこかにあるかも知れない」と言う事です。 その状況でpiユーザを削除してしまうと、そのファイルは所有者が居なくなり、root以外一切触れる事が出来なくなります。 ファイルの所有者が居なくなる事で不可思議なエラーが出たりする
![[Raspberry Pi]ユーザ名変更の個人的に「正しい」と思うやり方 | 純規の暇人趣味ブログ](https://cdn-ak-scissors.b.st-hatena.com/image/square/6214af4b3c4450958d34666f964f5682fb04fdbf/height=288;version=1;width=512/https%3A%2F%2Fjyn.jp%2Fimg%2Fogp.png)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
New Python malware backdoors VMware ESXi servers for remote access
SSRF基礎
Dockerセキュリティ: 今すぐ役に立つテクニックから，次世代技術まで
Docker user best practices
新横浜密着情報シンヨコのサイト
Website security, made easy.
Raspberry Pi でmitmproxyを使って無線LANを中継してパケットをキャプチャする | メープルごはん's Blog