S3のメタデータを用いた攻撃
例えば、Content-Typeメタデータの値を細工したオブジェクトを取得させることでXSSを発生させたり、Content-Dispositionメタデータを細工してRFD (Reflected File Download) を引き起こしたり、 x-amz-storage-classメタデータを操作して意図せぬストレージクラスを使用させEDoS (Economical Deninal of Sustainability)を発生させたり、といった攻撃が成立する可能性があります。 中でもContent-Typeを悪用したXSSは、S3の仕様や使用方法だけでなく、ブラウザの挙動にも注意を払う必要があり、アプリ開発者は攻撃の原理と対処を理解しておく必要があります。 9/21にAzaraさんとSecurity-JAWSのコラボで、この問題にフォーカスしたCTFイベント「とある海豹とSecurity-
XSS using dirty Content Type in cloud era
2024/3/31(土)開催のコミュニティイベント「Bsides Tokyo 2024」でのAzara、eiによるセッション資料です。 https://bsides.tokyo/2024/#xss-using-dirty-content-type-in-cloud-era
AWS継続的セキュリティ実践ガイド ログの収集／分析による監視体制の構築 | 翔泳社
クラウド上のシステムの安全はどこから手をつければいいのか？ AWSのセキュリティ、その考え方と実践 オンプレミス環境中心だったエンタープライズシステムはいまや、クラウド環境への移行が本格化しています。特に、手軽にスモールスタート可能なパブリッククラウドへの移行はすっかり一般的になりましたが、機密性の高いデータを誤って公開してしまったり、適切な設定がされていなかったりと、クラウド環境ならではのセキュリティインシデントが発生するようになってしまったのもまた事実です。 このような現代において、クラウドを主戦場とするシステム管理者／開発者には、従来どおりの、つまり「オンプレミス／クラウド共通の」セキュリティ管理を学ぶことはもちろん、「クラウド特化型の」セキュリティ管理の原則を学ぶことも必須となっています。それは、責任共有モデルなどクラウド固有の考え方を正しく知ることでもあり、同時に、クラウド利用に
無料 MFA セキュリティキー | AWS
セキュリティは当社の最優先事項であり、お客様のセキュリティ体制を強化するために、常に新しい方法を模索しています。そのため、一定のお客様に対し、ビジネスの環境と資産をさらに保護するために設計された、無料の多要素認証 (MFA) セキュリティキーを提供しています。加えて、本来は Amazon 従業員向けに AWS が開発されたセキュリティトレーニング資料を、従業員と機密情報のセキュリティを維持しようとする個人や組織向けに提供開始しました。詳細については、ブログ記事とプレスリリースをお読みください。 個人文書、独占的な顧客情報、企業のテクノロジーインフラ資産などの高度な機密情報には、データの保護のために、より強力なツールの使用が推奨されます。セキュリティプランを強化し、最も機密性の高い資産を保護するように設計された無料のMFA セキュリティキーが、お客様をオンラインで保護する、追加のセキュリティ
Scanning for AWS Security Issues With Trivy
What is Trivy?Trivy is a multifunctional, open-source security scanner. It can scan various targets (filesystems, containers, git repositories and more) in order to discover security issues (vulnerabilities, misconfigurations, and secrets). In short, Trivy can find a bunch of different types of security issue in pretty much anything you point it at, for free. Scanning AWSAs of this week, Trivy v0.
Amazon S3の脆弱な利用によるセキュリティリスクと対策 - Flatt Security Blog
はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、Amazon S3 の脆弱な使い方によるセキュリティリスクと対策を解説し、実際の設定不備などに関する事例についても紹介します。 Flatt Security は専門家の視点でセキュリティリスクを調査するセキュリティ診断を提供しています。クラウドとアプリケーションの総合的な診断の事例として SmartHR 様の診断事例がございますので、是非インタビュー記事をご覧ください。GCP の事例ですが、もちろん今回取り上げる AWS でも同様の診断が可能です。 はじめに Amazon S3 とは バケット・オブジェクト バケット オブジェクト アクセスポリシー バケットポリシー アクセスコントロールリスト(ACL) IAM ポリシー 署名付き URL Amazon S3 に
AWS 上のマルチテナント SaaS 環境におけるセキュリティプラクティス | Amazon Web Services
Amazon Web Services ブログ AWS 上のマルチテナント SaaS 環境におけるセキュリティプラクティス この記事は Security practices in AWS multi-tenant SaaS environments を訳したものです。 SaaS (Software-as-a-service) アプリケーションのセキュリティ保護は、すべてのアプリケーションアーキテクトと開発者にとって最優先事項です。複数のテナントによって共有される環境のセキュリティ保護は、特に困難な場合があります。アイデンティティフレームワークとその概念を理解するには時間がかかることがあり、これらの環境でテナント分離を形成するには、さまざまなツールやサービスを深く理解する必要があります。セキュリティはあらゆるソフトウェアアプリケーションの基本要素ですが、SaaS アプリケーションには Saa
なるべく楽したいAWSセキュリティ
Leaner 開発チームの黒曜(@kokuyouwind)です。 先日開催された AWS Starup Community スタートアップ事例祭り 〜監視・モニタリング・セキュリティ編〜 に登壇させていただき、「なるべく楽したい AWS セキュリティ」と題して Leaner Technologies での AWS セキュリティ設定事例を紹介しました。 今回は発表内容のポイントとともに、発表で省いた話をいくつか記事にまとめていきます。 発表スライド 口頭での補足を前提としたスライド構成になっているため、スライドのみだと少々分かりづらい部分があります。 発表時の動画がアップロードされているので、そちらをご覧いただくとよりわかりやすいです。 発表内容のおおまかなまとめ スライドだけだと分かりづらいし、動画だと見るのに時間がかかるなぁ… という方もいそうなので、発表内容のポイントを以下にまとめます
Cloud Native Security Cookbook
Read it now on the O’Reilly learning platform with a 10-day free trial. O’Reilly members get unlimited access to books, live events, courses curated by job role, and more from O’Reilly and nearly 200 top publishers. With the rise of the cloud, every aspect of IT has been shaken to its core. The fundamentals for building systems are changing, and although many of the principles that underpin securi
AWSアカウント作成時にやるべきこと - NRIネットコムBlog
Amazon Web Services (以下AWS)の利用開始時にやるべき設定作業を解説します。AWSの利用開始とは、AWSアカウントの開設を意味しますが、より安全に利用するため、AWSアカウント開設直後にやるべき設定がいくつかあります。この連載ではその設定内容を説明します。 AWS Organizationsを使用することで、複数のアカウントに自動的にこういった初期設定を行うことも可能ですが、この連載では新規で1アカウントを作成した場合を前提とします。複数アカウントの場合も、基本的な考え方は同じになります。 設定作業は全１９個あり、作業内容の難しさや必要性に応じて以下３つに分類しています。 少なくともMUSTの作業については実施するようにしましょう。 MUST ：アカウント開設後に必ず実施すべき作業 SHOULD ：設定内容の検討または利用方法を決定のうえ、可能な限り実施すべき作業 B
The last S3 security document that we’ll ever need, and how to use it - TrustOnCloud
The last S3 security document that we’ll ever need, and how to use it Update: We have launched ControlCatalog, a friendly UI for our in-depth ThreatModels. Check it out: ControlCatalog We have released the ThreatModel for Amazon S3, free and open source. You can download it via GitHub. The Shared Responsibility Model is an easy-to-understand diagram by Cloud Providers. The reality is that: 1) The
セキュリティ・キャンプ全国大会 2021 オンライン B3 分散アーキテクチャ時代におけるWebシステムの開発と運用 事前資料 クラウドシステムをセキュアに開発運用する勘所
セキュリティ・キャンプ全国大会 2021 オンライン B3 分散アーキテクチャ時代におけるWebシステムの開発と運用 事前資料 クラウドシステムをセキュアに開発運用する勘所
[神ツール]セキュリティインシデントの調査が捗るAmazon DetectiveがGAしたのでメリットとオススメの使い方を紹介します | DevelopersIO
[神ツール]セキュリティインシデントの調査が捗るAmazon DetectiveがGAしたのでメリットとオススメの使い方を紹介します インシデントの調査がとっても捗るAmazon Detectiveについて、どのような役割とメリットがあるのか、使い方の勘所、そのコスパについてまとめました。これも全アカウント必須ですよ！ こんにちは、臼田です。 みなさん、インシデントの調査してますか？(挨拶 ついに待ちに待ったAmazon Detectiveが正式リリースされました！セットアップの方法は下記にありますので、ぜひGuardDutyと同じように対応しているすべてのリージョンで有効化しましょう。 で、本記事ではそもそもどのように調査が捗るのか？とかどんな機能があるんだっけ？というところを整理して、「あーすべての環境で有効化したほうがいいな、これ」と思ってもらえるように伝えていこうと思います。 Am
![[神ツール]セキュリティインシデントの調査が捗るAmazon DetectiveがGAしたのでメリットとオススメの使い方を紹介します | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/b996edd95c7fdb76dd1da28325d8606da2a54903/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2020%2F03%2Famazon-detective.png)
AWSのセキュリティ - Qiita
出展：AWS認定資格試験テキスト AWS認定 クラウドプラクティショナー AWSの責任共有モデル AWSの責任共有モデルとは ・AWSとユーザーが責任を負う部分が明確に分かれ、それぞれがセキュリティを共有して守っていくこと クラウド本体のセキュリティ ・AWSが担当 クラウド内のセキュリティ ・ユーザが担当 ・AWSが用意するセキュリティサービスを適切に活用して、ユーザはクラウド内のセキュリティを管理できる AWSクラウドのセキュリティ AWSセキュリティの利点 データの保護 ・すべてのデータは安全性が非常に高いAWSデータセンターに保存される コンプライアンスの要件に準拠 ・AWSでは、インフラストラクチャ内で多くのコンプライアンスプログラムを管理できる ・コンプライアンスの一部は最初から達成されている コスト削減 ・AWSデータセンターを利用することでコストを削減できる ・ユーザが独自
入社後にAWSアカウントの整理とAWS SSOを導入した話 - トレタ開発者ブログ
こんにちは、2019年7月よりトレタにJOINした @aibou です。 本記事はトレタ Advent Calendar 2019の16日目の記事です。 趣味はNFL観戦とボルダリングです。NFLは今年11月にマイナス気温の屋外で現地観戦してきました。 最近リードクライミングの講習を受けまして、ガシガシと岩を登っております。 さて、今回はAWSアカウントとAWS SSOのお話をしようと思います。 既に社内エンジニアへの共有や社内WikiにAWS SSOの利用マニュアルを残していますが、経緯や変遷について記載していないので、トレタ社員の方にも読み物として読んでいただければなと思っています。 免責事項 本記事を参考に実施したことで発生した金銭・セキュリティ等あらゆる問題について責任を負いかねますので、自己責任のもと実施していただくよう、よろしくお願いいたします。 また、誤り等あればはてブ等でご
[新機能] 異常な API アクティビティを自動検出！CloudTrail Insights がリリースされました！ | DevelopersIO
[新機能] 異常な API アクティビティを自動検出！CloudTrail Insights がリリースされました！ CloudTrailの証跡情報を機械学習で分析し、異常APIコールとして検出してくれる新機能「CloudTrail Insights」のご紹介です！ 先日のアップデートで CloudTrail Insights という新機能が追加されました。 AWS CloudTrail announces CloudTrail Insights CloudTrail Insights とは CloudTrail は AWS アカウント内のアクティビティをログに記録することで、セキュリティ分析や、リソース変更を追跡するなど、トラブルシューティングや運用監査するうえで非常に役に立つサービスです。（まだ有効にしてない方は、これを機にいますぐ設定しましょう！それくらい重要です） そして、Clou
![[新機能] 異常な API アクティビティを自動検出！CloudTrail Insights がリリースされました！ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/20d59afbd08bcd9db44f6717a88795dd27fce8f0/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-cloudtrail.png)
AWSの薄い本 IAMのマニアックな話 - 佐々木拓郎のオンライン本屋 - BOOTH
技術書典7で頒布したAWS本です。 ■ 本書の目的 本書はIAMの機能に絞って解説するという機能特化本です。 筆者は今まで、商業誌で「AWSの基本機能」、「サーバレス」、「業務システム」、「試験対策」をテーマに4冊のAWS本を書きました。 テーマに沿って必要な機能を紹介していくというスタイルだったのですが、今回は逆に機能を元に解説するというスタイルに挑戦しています。 それでなぜ、IAMなのでしょうか？AWSが不正利用されて100万円の請求が来たというようなニュースを、ネットで時々目にする事があります。原因の多くがIAMのアクセスキーをGitHubに誤ってコミットしてしまい、そのキーを不正利用されたケースです。そういった事態を防ぐために正しくIAMを知って貰いたいのです。 IAMは、AWSの利用権限を管理する極めて重要な機能です。AWSには多種多様な機能があり、IAMはそれに応じて様々な記述
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSRF Bug Leads To AWS Metadata Exposure
GitHub - matanolabs/matano: Open source security data lake for threat hunting, detection & response, and cybersecurity analytics at petabyte scale on AWS
初心者でも大丈夫！AWSアカウント作成時のセキュリティ設定
