はてなブックマーク

「Grade up（グレードアップ）」では、SSTに関わるみなさまの声と視点を交えながら SSTの想いや取り組みをお伝えします 「攻撃は防げない」ことを前提として、問題を早期発見するため、開発段階・リリース前後の段階ごとに「脆弱性を埋め込まない・取り除く」対策を講じる。「Yahoo! JAPAN Tech Blog」で公表されている「ヤフーのサイバーセキュリティに対する考えと取り組み」では、開発現場における行動規範やルールだけではなく、組織体制のあり方にまで踏み込んで明文化されている。 数々の大規模インシデントという過去の苦い経験をきっかけにヤフー株式会社（以下、ヤフー）は、サイバーセキュリティの重要性に対する認識を大きく転換した。その結果生まれたのが「サービスを開発する際、ユーザーの安心・安全のためにセキュリティを必ず考慮する」「セキュリティ対策には、企業トップを中心として、全社で意思統

Webサイトの脆弱性問題に対する根本的な対策となるセキュリティ教育。安全なWebサイトを設計・開発するために必要なWebアプリケーションの知識として脆弱性の原理から脅威、攻撃や対策まで実践的なセキュリティ教育をご提供いたします。 eラーニング（オンライン講座）に企業内研修を組み合わせることにより、低価格で効率よく、確実なスキルアップを実現することが可能です。 SST が提供するeラーニングシステムは、オンライン学習プロジェクト「Open edX」を利用しております。edXは、edX Inc.の登録商標または商標です。Open edX 公式サイト：https://open.edx.org/ 効率よく学習できるeラーニング 必要なコンテンツを効率よく時間や場所を選ばず個人のレベルにあわせて繰り返し受講可能なため個人の知識習得に効果的です。 専用Webサイトから教育プログラムを受講できるシステム

はじめに 2017年9月-10月頃に、非同期イベント駆動のI/Oライブラリである Netty について勉強する機会がありました。 その時に調査した内容や、実際にNettyを使って作成したローカルHTTPプロキシの紹介をしたいと思います。 調査・検証環境: OS : Windows10Pro 64bit 日本語版 JDK 1.8.0_92 Netty 4.1.15.Final / 4.0.44.Final Nettyの調査内容については以下のGitHubリポジトリで公開していますので、詳細はそちらを御覧ください。 https://github.com/SecureSkyTechnology/study-netty4_1-201710 JavaのソケットプログラミングとNetty Javaのソケットプログラミング(特にTCP/IP)の概要と、なぜNettyを使うと便利になるのかについて、図で簡

はじめに 2017年12月1日にStruts2のセキュリティアップデートが公開されました。 2.5.14.1 リリース : https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.14.1 S2-054 : https://cwiki.apache.org/confluence/display/WW/S2-054 S2-055 : https://cwiki.apache.org/confluence/display/WW/S2-055 攻撃の可能性について先に結論だけ書くと、これらの脆弱性が実際の攻撃として悪用される可能性は低いと考えられます。 以下、本記事でS2-054, S2-055 および S2-055 に影響を与えた jackson-databind の脆弱性について解説します。 情報が公開される前からJa

new!! ある日突然セキュリティ担当になったら 最初の5日間でやること ある日「セキュリティ担当」になった。短期間で成果を出していくものからはじめてみようと考えている。さて、なにからやろうか...

illustrations by あおい海月 SSTではWebアプリケーションの脆弱性診断サービスを提供しており、診断時には診断対象のWebアプリケーションに対して擬似的な攻撃リクエストを送信し、SQLインジェクションやXSSに代表されるような脆弱性の有無を確認します。 診断時には、多様なパターンの攻撃リクエストを送信するために、Java言語で開発している専用のソフトウェアを使っています。 こうした脆弱性診断に用いるソフトウェアを開発するためにはいくつか注意点があります。 今回はその注意点の一つである、Javaでの文字コードの扱いについて、特に文字コードが不明なデータをJavaのString型として扱うためのテクニックを紹介したいと思います。 ▲一番上に戻る 以上のように、何かしら文字列をファイルや外部システムとやりとりしたい時は、必ず文字コードを意識することになります。 特に脆弱性診断に

株式会社セキュアスカイ・テクノロジーのセキュリティエンジニアと雑談・交流ができるオンラインイベントを開催します。

Webサイトの脆弱性問題に対する根本的な対策となるセキュリティ教育。安全なWebサイトを設計・開発するために必要なWebアプリケーションの知識として脆弱性の原理から脅威、攻撃や対策まで実践的なセキュリティ教育をご提供いたします。 eラーニング（オンライン講座）に企業内研修を組み合わせることにより、低価格で効率よく、確実なスキルアップを実現することが可能です。 SST が提供するeラーニングシステムは、オンライン学習プロジェクト「Open edX」を利用しております。edXは、edX Inc.の登録商標または商標です。Open edX 公式サイト：https://open.edx.org/ 効率よく学習できるeラーニング 必要なコンテンツを効率よく時間や場所を選ばず個人のレベルにあわせて繰り返し受講可能なため個人の知識習得に効果的です。 専用Webサイトから教育プログラムを受講できるシステム

【プレスリリース】SST、EASM「Dredger（ドレッジャー）」 の料金体系をアップデート 〜より多くのお客様のニーズに応え、小規模利用に最適な新料金プランを導入〜