Amazon Inspectorのレポート機能を試す | iret.media
こんにちは、ひろかずです。 Preview版の時にAmazon Inspectorの評価を行いましたが、それっきりになってしまいました。 Amazon Web Services ブログでレポート機能が追加されるなどのアップデートがなされたので、一筆書きます。 目的とゴール GA/アップデート後のAmazon Inspectorを実行し、その差分とレポート機能がどんなものかを確認する。 参考ドキュメント Amazon Inspectorユーザーガイド お品書き 仕様 インストール手順 実行手順 レポート機能 仕様 対応環境とルールパッケージ Windows対応やRHEL6系への対応は聞いていましたが、新たにRHEL7.3系に対応されていました。 日本語ドキュメントでは、RHEL7.2系までの記載でしたので、英語ドキュメントを確認するように心がけたいですね。 対応環境毎に利用できるルールパッケ
Amazon Inspectorの導入 - Qiita
Amazon Inspectorを触る機会があったため、脆弱性診断におけるAmazon Inspectorの位置づけを軽く整理した上で、自分なりにその使い方をまとめました。 Amazon Inspectorとは？ Amazon InspectorとはAWSが提供する脆弱性診断を行うサービスで、エージェントを利用したプラットホーム診断のためのサービスです。EC2に対して実施するもので有料です。またEC2のみのため、他社クラウドのインスタンスやデータセンターにあるサーバには実行できません。 こうしたサービスが求められる背景（私見） あくまで私見ですが、セキュリティへの取り組みにはまずは「リスクの可視化」が必要と言われてますが、これまではインフラ担当者という「人」に依存する形で、自分たちのサービスで利用しているサーバのOSやミドルウェアに脆弱性有無の可視化や対応が行われていることが多いように思い
Introducing security alerts on GitHub
AI & MLLearn about artificial intelligence and machine learning across the GitHub ecosystem and the wider industry. Generative AILearn how to build with generative AI. GitHub CopilotChange how you work with GitHub Copilot. LLMsEverything developers need to know about LLMs. Machine learningMachine learning tips, tricks, and best practices. How AI code generation worksExplore the capabilities and be
API-Security-Checklist/README-jp.md at master · shieldfy/API-Security-Checklist · GitHub
English | 繁中版 | 簡中版 | Português (Brasil) | Français | 한국어 | Nederlands | Indonesia | ไทย | Русский | Українська | Español | Italiano | Deutsch | Türkçe | Tiếng Việt | Монгол | हिंदी | العربية | Polski | Македонски | ລາວ API Security Checklist これはAPIの設計, テスト, リリース時における、重要なセキュリティ対策チェックリストです。 認証(Authentication) Basic認証を使用してはならない。標準的な認証を使う。(例 JWT, OAuth) 認証, トークン生成, パスワードの保管において車輪の再発明をしてはならない。 最大ログイン試
Developers.IO 2017セッション「ここからはじめるAWSセキュリティ」で話しました #cmdevio2017 | DevelopersIO
Developers.IO 2017セッション「ここからはじめるAWSセキュリティ」で話しました #cmdevio2017 クラスメソッドが運営するIT系技術ブログDevelopers.IOのカンファレンスイベントDevelopers.IO 2017にて、セッション「ここからはじめるAWSセキュリティ」を発表しました。そのレポートです。 発表スライド はじめに 本セッションのゴール セッションのゴールを2つ設定します。1つ目にセキュリティ対策が大切な理由を理解する事です。セキュリティは利益に直接結びつきにくいものですから、大切な理由を整理しておきたいと思います。2つ目にAWSのセキュリティに関するアクションがわかることです。この2つが達成できたら、このセッションは合格とさせて下さい。 アジェンダ 情報セキュリティとは IAMの重要性とベストプラクティス 証跡の取得 責任共有モデルで考える役
クラウドサーバに対する脆弱性診断の事前申請について各社に問い合わせてみた結果 - VAddyブログ - 継続的セキュリティテストへの道 -
先日このようなブログ記事が公開されました。 クラウドサービスを脆弱性診断する時のお作法 とある企業において脆弱性診断をされている「とある診断員」さんのブログで、クラウドサービス（IaaS）の利用者が脆弱性診断をする際の注意点がまとめられています。 この記事の中に 脆弱性診断を実施する際には、ご自身の利用しているプラットフォームの事業者にちゃんと確認をした方が良いと考えます。 という言及があります。 VAddyはサーバー上のWebアプリケーションに対する脆弱性診断（ブラックボックステスト）を行うサービスですので、これに当てはまります。 上記のブログ記事ではAWS、Microsoft Azure、Google Cloud Platformのポリシーをまとめていただいているので、便乗して日本国内のクラウド事業者のポリシーについてまとめてみました。 主要クラウド事業者の脆弱性診断に関するポリシー
AWS Security Primer
I was preparing some AWS Security related training. Soon, I realized that this topic is too huge to fit into my brain. So I structured my thoughts in a mind map1. Within a couple of minutes2 I came up with this: What is your first reaction? Mine was pretty much surprised: Let me summarize how AWS Security works to make sure you are not surprised one day. This post received over 200 points on Hacke
Amazon Inspectorで脆弱性を検知させる | DevelopersIO
はじめに 先月正式リリースされたAmazon Inspector。皆さん使ってみましたでしょうか？EC2にAgentを入れておくだけで、ルールに基づいてセキュリティ評価を行ってくれる便利サービスです。全てのEC2にデフォルトで導入しちゃっても良いくらいのサービスだと思います。 今回は実際に脆弱性を内包したEC2を構築し、Amazon Inspectorで脆弱性を検知させてみました。 やってみた EC2を構築する Amazon Inspectorの検査対象となるのは以下のリージョンのEC2です。 US West (Oregon) US East (N. Virginia) EU (Ireland) Asia Pacific (Tokyo) 検査対象として対応しているOSは以下の通りです。 Amazon Linux (2015.03 or later) Ubuntu (14.04 LTS) R
クラウドサービスを脆弱性診断する時のお作法 - とある診断員の備忘録
「とある診断員の備忘録」というタイトルのわりに、ブログを始めてから今まで脆弱性診断に関することを一切書いていなかったことに気づいたので、そろそろ脆弱性診断ネタを書こうかと思います。 今回はクラウドプラットフォームに対する脆弱性診断の小ネタです。 クラウドサービスを診断する時のお作法って？ 私が脆弱性診断をやり始めた駆け出しの頃では、オンプレ環境の診断対象が多かったのですが、最近ではクラウドプラットフォームなどの利用が当たり前となったため、クラウド環境の診断対象と沢山エンカウントします。 クラウド環境に対して脆弱性診断を実施する場合には、実はいくつか抑えておくべきお作法があります。 1. クラウド事業者側に診断事前に申請が必要な場合がある 脆弱性診断の種類にもよりますが、ブラックボックステストでは疑似的な攻撃を実施して脆弱性の有無を判定するため、不正アクセスとして検知される可能性もあります。
2017年版 AWSの侵入テストについて | DevelopersIO
2017年9月23日更新 許可されているリソースについてアップデートがあることを確認したので「対象リソースについて」を更新しました 2018年11月07日更新 ブログを更新しました。 【2018年版】AWSの脆弱性テスト、侵入テストについて はじめに 以前AWSの侵入テストについて(Amazon EC2への侵入テスト申請について)を投稿しましたが、 新たに「Total Bandwidth (Please provide expected Gbps)*」の項目が追加されたので、 侵入テストに関する確認事項や内容についてアップデートしました。 侵入テスト AWSではAWS環境への、またはAWS環境からの侵入テストと脆弱性スキャンを実施する場合、 AWSで禁止されている行為と区別するために事前に侵入テストの承認を得る必要があります。 侵入テスト 私たちの適正利用規約では、禁止されているセキュリテ
Advanced Security Best Practices Masterclass
This document provides an overview of best practices for security on AWS. It discusses the shared responsibility model between AWS and customers. It covers identity and access management with IAM, including creating users, permissions, groups, and conditions. It also discusses networking with Amazon VPC, security groups for EC2 instances, and secrets management. Additional topics include encryptio
SSL/TLSの基礎と最新動向
1. SSL/TLSの基礎と最新動向 セキュリティキャンプ 2015 2015年8月12日 IIJ 大津 繁樹 更新版資料の置場 http://goo.gl/cX1M17 Github Repo: https://goo.gl/vRLzrj 2. 自己紹介 • 大津 繁樹 • 株式会社 インターネットイニシアティブ • プロダクト本部 アプリケーション開発部サービス開発2課 • NodeJS Technical Committee メンバー • (主にTLS/CRYPTO/OpenSSLバインディングを担当） • IETF httpbis WG で HTTP/2相互接続試験等仕様策定に参画。 • ブログ： http://d.hatena.ne.jp/jovi0608/ 3. はじめに • TLS(Transport Layer Security)の仕組みについて学んでいただき ます。 •
クラウドを支えるこれからの暗号技術 - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズ・ラボの光成です。 私は先月のDevelopers Summit 2015で、「クラウドを支えるこれからの暗号技術」という講演をいたしました。そのとき、近いうちに詳細なテキストを公開する予定と申し上げました。その準備ができましたので報告いたします。 講演と同じタイトル『クラウドを支えるこれからの暗号技術』のpdfはgithubから取得できます。 2015/6/21追記。このテキストが秀和システムから出版されました。 表題の講演は、主に2000年に入ってから登場した新しい暗号技術の紹介がメインです。そのときのプレゼン資料は3月の時点で4万5千ビューを超えていて、デブサミ資料の中でもかなり上位に入る閲覧数のようです。技術者の暗号に関する関心が高いことを伺わせます。 しかし一般向けの暗号のテキストは、公開鍵暗号の一つであるRSA暗号やElGamal暗号ぐらいしか詳しい原理が記されていな
開発するように運用するインフラ JAWS DAYS 2015
Cheating the UX When There Is Nothing More to Optimize - PixelPioneers
クラウドを支えるこれからの暗号技術
zk-SNARKs are zero-knowledge succinct non-interactive arguments of knowledge that allow a prover to convince a verifier of a statement without revealing details. They work by converting a function and its inputs/outputs into a quadratic arithmetic program (QAP) represented as polynomials. This allows a verifier to efficiently check a proof generated by the prover using techniques like Lagrange int
Scaling CloudFlare's Massive WAF
I first heard John speak at the Nginx.Conf conference in San Francisco. He’s done an amazing job explaining a large scale, high volume WAF (Web Application Firewall) platform that he and his colleagues have built. In this interview he’ll explain design goals, benchmarking, testing and WAF rule new roll outs. The story here is really about performance and scale by optimizing every last drop out wit
OSSEC ではじめるセキュリティログ監視 - クックパッド開発者ブログ
インフラストラクチャー部の星 (@kani_b) です。 Heartbleed, ShellShock, XSA-108 (a.k.a. EC2 インスタンス再起動祭), POODLE など、今年は話題となるような脆弱性が各地を襲う一年でした。 脆弱性への対応に加え、いわゆるセキュリティ対策に日頃頭を悩ませている方も多いのではないかと思います。 一言にセキュリティ対策と言っても、実際やるべきことは多岐にわたります。今回はそのうちの一つとして、OSSEC という IDS (侵入検知システム) を使ったセキュリティログ監視についてご紹介します。 OSSEC とは OSSEC は、いわゆるホスト型の IDS (HIDS) です。以下のような機能を持っています。 ログ解析、監視 ファイルの変更監視 rootkit の検知 それらをトリガにしたプログラムの自動実行 (Active Response)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://d0.awsstatic.com/events/jp/2017/summit/slide/D2T4-6.pdf
GitHub - awslabs/aws-config-rules: [Node, Python, Java] Repository of sample Custom Rules for AWS Config.![GitHub - awslabs/aws-config-rules: [Node, Python, Java] Repository of sample Custom Rules for AWS Config.](https://cdn-ak-scissors.b.st-hatena.com/image/square/7030d58d0ec5a37bb2227c0e0567afdc47516148/height=288;version=1;width=512/https%3A%2F%2Fopengraph.githubassets.com%2F151d12a451525583034b6b48acf129c3910955b2468f64008a8340c9ca925e92%2Fawslabs%2Faws-config-rules)
AWS re:Invent 2016: Security Automation: Spend Less Time Securing Your Applications (SAC316)