ESET、El Capitan/Sierraのセキュリティ・アップデート2018-001後、Macが再起動を繰り返す問題を修正した「ESET Cyber Security」をリリース。
ESETがEl Capitan/Sierraのセキュリティ・アップデート2018-001後、Macが再起動を繰り返す問題を修正した「ESET Cyber Security」をリリースしています。詳細は以下から。 Mac用セキュリティソフトウェア「ESET Cyber Security」などを提供しているスロバキアのESETは、現地時間2018年01月25日、AppleがOS X El CapitanおよびmacOS Sierra向けに公開した「セキュリティ・アップデート 2018-001」適用後、「ESET Cyber Security / Pro」が原因でMacが再起動を繰り返す問題に対し、この問題を修正した「ESET Cyber Security Pro and ESET Cyber Security v6.5.600.3」を公開したと発表しています。 Good news! That
第212回 大騒ぎのSpectreとMeltdownの脆弱性をざっくりと解説
2018年の年明けから大騒ぎとなっているSpectreとMeltdownの脆弱（ぜいじゃく）性をざっくりと解説する。プロセッサの何が問題となって脆弱性が起きているのだろうか？ 連載目次 2018年正月早々、プロセッサ業界に騒動が起きている。すでにあちらこちらで報道されているのでご存じの方も多いと思うが、Spectre（スペクター）とMeltdown（メルトダウン）と呼ばれるプロセッサの脆弱性の問題である（脆弱性の詳細は、Google Project Zeroの「Reading privileged memory with a side-channel 」参照のこと）。 脆弱性は、以下の3つである。「Variant 1」と「Variant 2」がSpectreと呼ばれるもの、「Variant 3」がMeltdownと呼ばれる脆弱性だ。 Variant 1: bounds check bypa
商用環境で設定しておきたいセキュリティ関連 HTTP ヘッダまとめ - A Memorandum
TL;DR X-Content-Type-Options X-Frame-Options(XFO) X-XSS-Protection Content-Security-Policy (CSP) Upgrade-Insecure-Requests Strict-Transport-Security (HSTS) Public-Key-Pins (HPKP) 設定 TL;DR X-Content-Type-Options MIME スニッフィングの無効化 X-Frame-Options(XFO) フレーム表示を制限しクリックジャッキングを予防 X-XSS-Protection XSSフィルタの有効/無効 Content-Security-Policy (CSP) XSSなどの攻撃を軽減するセキュリティレイヤー Strict-Transport-Security (HSTS) HTTP の代わり
図解：OAuth 2.0に潜む「5つの脆弱性」と解決法
SNSなど複数のWebサービスが連携して動くサービスは広く使われている。連携に必要不可欠なのが、アクセス権限をセキュアに受け渡すための「OAuth 2.0」といった仕組みだ。今回はOAuth 2.0に関連する代表的な5つの脆弱（ぜいじゃく）性と攻撃手法、対策についてシーケンス図を使って解説する。 OpenID Foundation Japan Evangelistのritouです。 連載第1回では、RFCが公開されてから5年が経過した「OAuth 2.0」を振り返り、3つのユースケースを通じて、アクセス権限を受け渡す仕組みを紹介しました。OAuth 2.0はさまざまなユースケースに適用できます。その際、開発者はアプリケーションが動作する環境の特性を考慮しながら、仕様で定義されている処理を実装する必要があります。 今回は、脆弱（ぜいじゃく）性を作り込まないOAuth 2.0の実装手法を紹介し
セキュリティの報告先を記述する、security.txtの提案仕様 (RFC9116) - ASnoKaze blog
Webサイトのセキュリティリスクを発見したものの、連絡先が適切に公開されていないがために、結局報告されず脆弱性が放置されるケースがあるようだ(国内だと、IPA脆弱性関連情報の届出受付もあるが) 発見者が脆弱性等の報告を出来るような情報を、Web作成者が提供できるようにする仕様がIETFに提出されている。 この「A Method for Web Security Policies」という提案仕様では、security.txtをドメイン直下のURLに配置し、連絡先などを記述するようになっている。 security.txt security.txtは例えば以下のとおりである # Our security address Contact: security@example.com Contact: +1-201-555-0123 Contact: https://example.com/secur
総務省｜報道資料｜IoT機器に関する脆弱性調査等の実施
総務省は、一般社団法人ICT-ISAC、国立大学法人横浜国立大学等と連携して、重要IoT機器を中心にIoT機器の実態調査を行い、脆弱なIoT機器を特定した場合には、所有者等に対し注意喚起を行います。 あらゆるものがインターネット等のネットワークに接続されるIoT/AI時代が到来し、それらに対するサイバーセキュリティの確保は、安心安全な国民生活や社会経済活動確保の観点から重要な課題となっています。 IoT機器については、その性質から、サイバー攻撃の対象になりやすく、IoT機器を狙ったサイバー攻撃は年々増加傾向にあります。また、諸外国においても、深刻な被害が発生しています。 このような状況を踏まえ、「IoTセキュリティ対策に関する取組方針ver1.0」（平成29年4月12日サイバーセキュリティタスクフォース提言）及び「2020年及びその後を見据えたサイバーセキュリティの在り方について」（平成2
ハワイアンズモールのクレジットカード情報流出、原因はOpenSSLの脆弱性「HeartBleed」
観光施設「スパリゾートハワイアンズ」で知られる常磐興産は2017年7月12日、同社のショッピングサイト「ハワイアンズモール」で、最大6860件のクレジットカード情報が流出した可能性があると発表した。原因は、システムで利用していたSSL/TLSライブラリである「OpenSSL」の脆弱性「HeartBleed」である。 常磐興産がハワイアンズモールの運営を委託しているシステムフォワードが提供するシステムが、外部からの不正アクセスを受け、情報が流出した。不正アクセスを受けたのは、2017年2月10日から5月25日の間と見られ、この間にハワイアンズモールでクレジットカード決済を行ったユーザーのクレジットカード情報が流出した可能性がある。なお、スパリゾートハワイアンズ施設内でのクレジットカードの利用は、情報流出の対象ではないという。 2017年5月25日にクレジットカード決済代行会社からクレジットカ
総務省｜報道資料｜「サイバー攻撃（標的型攻撃）対策防御モデルの解説」の公表
総務省では、巧妙化・複合化し続ける標的型攻撃等の新たなサイバー攻撃に継続的に対応できるようにするため、平成25年度より「サイバー攻撃対策防御モデル・実践演習の実証実験」事業の一環として、官公庁・民間企業等における人的、技術的視点から見たサイバー攻撃（標的型攻撃）対応方策（以下、「防御モデル」という。）の検討を実施してきました。 今般、この取組の成果として「サイバー攻撃（標的型攻撃）対策防御モデルの解説」を策定いたしましたので、これを公表いたします。 日々、巧妙化・複合化し続ける標的型攻撃等の新たなサイバー攻撃に対応するためには、標的型攻撃への対応方法について深く認知し、必要な対策を機能させるための対応（『人・組織対策(インシデントレスポンス)』と『技術的対策(事前・対策・検知・事後対策)』）を行う必要があります。 そのため、総務省では、平成25年度より「サイバー攻撃対策防御モデル・実践演習
【コーポレート】内閣府とのマイナポータル連携に関する協定締結のお知らせ | ニュース | LINE株式会社
LINE株式会社（本社：東京都新宿区、代表取締役社長：出澤 剛）は、内閣府が運営するマイナポータルとコミュニケーションアプリ「LINE」を連携させることに関して合意し、協定を締結しましたので、お知らせいたします。 マイナポータルとは、マイナンバーカードを用いて自分のアカウントを作成することで、オンライン上で行政機関が持つ自分の情報を確認したり、行政機関などからのお知らせを受け取ったり、全国の行政サービスを検索し、電子申請することが可能となる、内閣府が運営するウェブサービスです。 マイナポータル URL: https://myna.go.jp/ 今回の連携により、今後開設を予定しているマイナポータルのLINE公式アカウント「マイナちゃん」との簡単なメッセージのやり取りを通じて、マイナンバーや氏名などの個人情報を用いることなく、全国の行政サービスが横断的に検索できるようになります。ユーザーの希
ランサムウェア「WannaCry／Wcry」による国内への攻撃を 16,436件確認 | トレンドマイクロ セキュリティブログ
現在世界各地で報道を大きく賑わせ今週国内での被害が懸念されていた暗号化型ランサムウェア「WannaCry」ですが、トレンドマイクロが確認をした結果、国内にも多くの攻撃が着弾していることが明らかになりました。 トレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network」が集計したデータによると、トレンドマイクロが緊急事態と判断した 2017年5月12日21時42分（日本時間）の前後で着弾している攻撃の数が大きく異なることが分かりました。英国など各国での被害が明らかになり始めた後から攻撃の数は急速に拡大し、5月12日21時42分から 5月15日9時00分までの間に確認、ブロックした攻撃は全世界で 92,141件に上ることが分かりました。 また、日本でも同期間内に13,645件の攻撃が確認されており、全体に占める割合では14.8％にのぼ
SSH秘密鍵を安全に管理するKryptoniteを使ってみた - Qiita
概要 Kryptoniteというサービスを見つけたので使ってみました。 KryptoniteはSSHの秘密鍵をスマートフォン上に保存し、PCなどで利用する際にはスマートフォンにPUSH通知が来て承認した場合のみ利用できるようにするものです。 利用イメージは上のサイトの動画を見るとすぐ掴めると思います。 秘密鍵が安全に管理できますし、複数PCでの秘密鍵の共有も安全に可能なので使ってみました。 通常であればPC紛失のことなどを考えると共有しないほうが好ましいかと思われますが（自分は普段分けてます）、Kryptoniteの場合はスマートフォン内に秘密鍵が保管されるので、PCごとに使い分けても意味が無いのかなと思っています（使い分けたほうが良い理由があれば教えてください）。 そしてOSSなのが嬉しいです。あとGoで書かれてるので読むと勉強になります。 とりあえず速攻使ってみたという記事なので、技術
OSSを利用する多くのソフトウェアで脆弱性対応の不備やライセンス問題が存在する | スラド セキュリティ
オープンソースソフトウェアの管理や監査、セキュリティ調査などを手がける米Black Duckによると、オープンソースソフトウェアを採用する企業の多くで、発見された脆弱性を放置したままにしているという問題があるという（Bluck Duckの発表、ITmedia）。 Black Duckは企業が買収などよって取得したソフトウェアのソースコードの監査を請け負っている。その監査過程でオープンソースソフトウェアに関する問題を多数見つけたという。具体的には、2016年に監査を行った1071のアプリケーションのうち96％が何らかの形でオープンソースソフトウェアを使っており、そのうち60％に脆弱性が含まれていたという。特に、金融関連のアプリケーションでは1つのアプリケーション辺り52の脆弱性が存在しており、そのうち60％が高リスクの脆弱性だったという。また、電子商取引関連でも似たような傾向があり、監査した
Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
IPAテクニカルウォッチ「CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント」：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構）セキュリティセンターは、ウェブサイトへの情報セキュリティインシデントが後を絶たないことを受け、ウェブサイトの構築・運用に用いられるCMS（コンテンツマネジメントシステム）に着目し、その脅威と対策、および構築・運用のポイントを解説した“IPAテクニカルウォッチ”「CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント」を9月28日（水）に公開しました。 下記より「CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント」についてのレポートPDF版をダウンロードしてご利用いただけます。 1．CMSとは 2．CMSで構築されたウェブサイトを狙う攻撃と対策 3．CMSを使ったウェブサイト構築・運用のポイント 4. チェックリスト 【別冊付録】ウェブサイト構築・運用のポイント 1. ウェブサイトを構築する上での注意点 2. ウェブサイトの運用開
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブログ（Wireless・のおと）｜サイレックス・テクノロジー株式会社
Docker最新動向2017秋＋セキュリティの落とし穴
死にゆくアンチウイルスへの祈り
SIOS Tech. Lab - エンジニアのためになる技術トピックス
OSSで始めるセキュリティログ収集/oss-securitylog-builderscon2017
WordPressサイトを運営するなら、とりあえずはやっておきたいセキュリティー対策まとめ
