こんにちは、Flatt Security執行役員の @toyojuni です。 弊社はWebエンジニア向けのセキュアコーディング学習プラットフォーム「KENRO(ケンロー)」を提供しています。この度、商談の中で限られたお客様にのみ提供していた「KENRO」のトライアル利用を 無償・期間無制限で一般開放 することとしましたので、そのお知らせも兼ねつつ一般開放に至った背景などをこちらのブログでお話ししようと思います。 「KENRO」とは？ 「KENRO」のトライアルとは？ トライアル一般開放の背景 トライアルはどのような人にオススメ？ トライアルの利用方法 最後に 「KENRO」とは？ 「KENRO」は、Web 開発に必要なセキュリティ技術のハンズオンの研修・学習を行うことができる、環境構築不要のクラウド型学習プラットフォームです。 https://flatt.tech/kenro これまでエ

ちゃだいん（@chazuke4649）です。 先日のアップデートで、"ついに"IAM ユーザーのデフォルトパスワードポリシーが強化されました。 AWS Identity and Access Management (IAM) now introduces new policy defaults for passwords of IAM users. This policy improves the default security for all AWS customers by ensuring customers set stronger passwords for IAM users in their AWS accounts. AWS Identity and Access Management introduces new policy defaults for IAM user

People often see passwords are the original sin of authentication on the web. Passwords can be easy to guess and vulnerable to breaches. Frequent reuse of the same password across the web makes breaches even more profitable. As passwords are made stronger and unique, they can quickly become unusable for many users. Passwords indeed look notorious, but are passwords themselves the problem, or is it

「AWS環境のセキュリティが不安だ…」そんな方にはセキュリティチェック！AWSでは定量的にチェックすることができる機能があります。いくつかあるので長短などを説明しつつ私が思う最強のセキュリティチェックを伝授します！ こんにちは、臼田です。 みなさん、AWS環境のセキュリティチェックしてますか？(挨拶 全国のAWSのセキュリティについて悩んでいるみなさまのために、今回は僕の考える最強のAWS環境セキュリティチェックについて情報をまとめ・伝授します。 初心者向けに、比較的AWSの経験が浅くても始めやすいように、かつ上級者が応用するために活用できる情報もぜんぶまとめていきます。 この記事は2020年の決定版となるでしょう！(それ　いいすぎ。 ながーくなってしまったので最初は適宜飛ばして読むといいかもしれません。 AWS環境のセキュリティチェックの意義 AWS環境でセキュリティチェックをすることは

リモートでコンピューターにアクセスするためのプロトコルであるSSHは、コンピューターの認証を行うために公開鍵暗号を利用しています。公開鍵暗号の方式には「RSA」「DSA」「ECDSA」「EdDSA」があり、それぞれの仕組みと「SSHに適した方式」についてソフトウェア企業「Gravitational」のVirag Mody氏が解説しています。 Comparing SSH Encryption Algorithms - RSA, DSA, ECDSA, or EdDSA? https://gravitational.com/blog/comparing-ssh-keys/ 公開鍵暗号は、暗号化と復号に別々の鍵を用いる暗号方式のこと。例えば、ボブとアリスがやり取りを行う時、アリスは秘密鍵と公開鍵を作成し、公開鍵をボブに渡しておきます。ボブはアリスの公開鍵でメッセージを暗号化してアリスに送信。暗号

正規の鍵を持たない第三者がロックされた鍵を開ける方法としては、特殊な器具を用いて行われるピッキングなどがあるほか、写真に写った鍵の形から3Dプリンターで合鍵を作ることも可能です。新たに、シンガポール国立大学の研究チームが、「鍵穴に鍵を挿した時の音」から合鍵を作ることが可能であると報告しました。 Listen to Your Key : Towards Acoustics-based Physical Key Inference https://dl.acm.org/doi/abs/10.1145/3376897.3377853 Researchers Can Duplicate Keys from the Sounds They Make in Locks https://kottke.org/20/08/researchers-can-duplicate-keys-from-the-so

MacやiPhone向けのアプリケーションを開発するための総合開発環境であるXcodeで作成されたプロジェクトを対象としたマルウェアの存在が明らかになっています。 XCSSET Mac Malware: Infects Xcode Projects, Performs UXSS Attack on Safari, Other Browsers, Leverages Zero-day Exploits - TrendLabs Security Intelligence Blog https://blog.trendmicro.com/trendlabs-security-intelligence/xcsset-mac-malware-infects-xcode-projects-performs-uxss-attack-on-safari-other-browsers-leverages-z

インターネットの普及とともにコンピューターやスマートフォンは日常生活に欠かせないものとなりましたが、そうしたデバイスに保存された機密データを標的としたマルウェアの脅威も大きなものになっています。そのマルウェアのプログラミングに使用される言語として「Python」が台頭してきていると、アメリカサイバー軍に使役した経験のあるオースティン・ジャクソン氏が語っています。 Python Malware On The Rise | Cyborg Security https://www.cyborgsecurity.com/python-malware-on-the-rise// 過去30年にわたり、マルウェアの開発環境はC言語やC++、Delphiなどのコンパイラ型言語が主でしたが、近年はPythonなどのインタプリタ型言語によるマルウェアが増加しているとのこと。特にPythonはプログラミング初心

Google、セキュリティスキャナー「Tsunami」をオープンソースで公開。ポートスキャンなどで自動的に脆弱性を検出するツール Announcing the release of the Tsunami security scanning engine to the open source communities to protect their users’ data, and foster collaboration.https://t.co/qrvmilHm1r — Google Open Source (@GoogleOSS) June 18, 2020 Tsunamiは、アプリケーションに対してネットワーク経由で自動的にスキャンを行い、脆弱性を発見してくれるツールです。 Googleは、現在では攻撃者が自動化された攻撃ツールへの投資を続けており、ネット上に公開されたサービスが攻

「データ侵害事件が発生しても、パスワードを変更するユーザーは全体の3分の1に過ぎない」とカーネギーメロン大学のセキュリティ・プライバシー研究所の研究チームが明らかにしました。 (How) Do People Change Their PasswordsAfter a Breach? (PDFファイル)https://www.ieee-security.org/TC/SPW2020/ConPro/papers/bhagavatula-conpro20.pdf Data breach victims aren't changing their passwords | TechRadar https://www.techradar.com/news/data-breach-victims-arent-changing-their-passwords カーネギーメロン大学の研究チームが行ったのは、

ソースコード管理ツールのGitLabを提供するGitLab,Incは、1200人以上いる社員全員がリモートで働いていることでも知られています。 そのGitLabが社内のセキュリティ対策演習として社員にフィッシングメールを送信。実際に引っ掛かった社員がいたことなどを明らかにしました。 具体的には「レッドチーム」と呼ばれる社内の専門チームが、ランダムに選んだ社員50人に対して、情報部門からの連絡を装った「あなたのノートPCがMacBook Proにアップグレードすることになりました」という内容のメールを送信。 メールの末尾に、手続きのためのリンクが張られており、このリンク先のフィッシングサイトでGitLab社員がIDとパスワードを入力すると、これらの情報が盗まれる、というものです。 フィッシングメールには怪しい点がいくつも込められていた ただしこのメールには、あらかじめフィッシングメールらしい

Intelが開発する高速データ伝送技術「Thunderbolt」に、悪意のある攻撃者に対しPC内のデータにアクセスを許してしまう脆弱性が判明しました。PCに物理的にアクセスできればパスワードといったセキュリティ保護にかかわらず攻撃が可能で、次世代規格のUSB4やThunderbolt 4にも影響があると報告されています。 Thunderspy - When Lightning Strikes Thrice: Breaking Thunderbolt 3 Security https://thunderspy.io/ More Information on Thunderbolt(TM) Security - Technology@Intel https://blogs.intel.com/technology/2020/05/more-information-on-thunderspy/#

サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず

[神ツール]セキュリティインシデントの調査が捗るAmazon DetectiveがGAしたのでメリットとオススメの使い方を紹介します インシデントの調査がとっても捗るAmazon Detectiveについて、どのような役割とメリットがあるのか、使い方の勘所、そのコスパについてまとめました。これも全アカウント必須ですよ！ こんにちは、臼田です。 みなさん、インシデントの調査してますか？(挨拶 ついに待ちに待ったAmazon Detectiveが正式リリースされました！セットアップの方法は下記にありますので、ぜひGuardDutyと同じように対応しているすべてのリージョンで有効化しましょう。 で、本記事ではそもそもどのように調査が捗るのか？とかどんな機能があるんだっけ？というところを整理して、「あーすべての環境で有効化したほうがいいな、これ」と思ってもらえるように伝えていこうと思います。 Am

Catalin Cimpanu （ZDNET.com） 翻訳校正： 矢倉美登里 吉武稔夫 （ガリレオ） 2020-04-09 14:51 Facebookで最高セキュリティ責任者（CSO）、米Yahooで最高情報セキュリティ責任者（CISO）を務めた経歴を持つAlex Stamos氏が、Zoomの社外セキュリティコンサルタントに就任する。 Stamos氏は先週、Zoomの創業者で最高経営責任者（CEO）のEric Yuan氏から電話を受け、同社のセキュリティに取り組むことになったという。米国時間4月8日に公開したMediumのブログ記事で明らかにした。 Zoomのビデオ会議ソフトウェアは、Stamos氏が言う一連の「浅いバグ」によりメディアで広く批判された。Stamos氏がTwitterでZoomを擁護する発言をしていたことから、Yuan氏はStamos氏に連絡を取り、社外セキュリティコン