解雇された元従業員が不正アクセスで180台の仮想サーバーを削除し会社に1億円以上の損害を与える
IT企業の元従業員が、会社のテストシステムにアクセスして仮想サーバー180台を削除したとして、不正アクセスの罪で2年8カ月の実刑判決を受けました。会社が受けた損害はおよそ91万8000シンガポールドル(約1億1000万円)に上るとのことです。 Fired employee accessed company’s computer 'test system' and deleted servers, causing it to lose S$918,000 - CNA https://www.channelnewsasia.com/singapore/former-employee-hack-ncs-delete-virtual-servers-quality-testing-4402141 Indians in Singapore news: Indian techie jailed in
【調査中/追記】ニコニコサービス全体において正常に利用できない場合がある不具合｜ニコニコインフォ
※ アカウントなしで無料で視聴できます ※ ニコニコ公式番組のみの対応となります ※ アクセス集中を避けるため、国内からのみ利用可能です 【6/14 追記】 当社サービスへのサイバー攻撃に関するご報告とお詫び ＜ドワンゴプレスリリース ： ６月１４日（金）１５時配信＞ 株式会社ドワンゴ（本社:東京都中央区、代表取締役社長:夏野剛）は、2024年6月8日付けのニコニコインフォで公表したとおり、6月8日早朝から当社が運営する「ニコニコ」のサービス全般を利用できない状態が続いております。本障害は、ランサムウェアを含む大規模なサイバー攻撃によるものであることが確認され、現在サービスの利用を一時的に停止し、被害状況の全容把握と復旧に向け、調査と対応を進めております。 当社は、サイバー攻撃を確認後、直ちに関連するサーバーをシャットダウンするなど緊急措置を実施するとともに、対策本部を立ち上げ、被害の全容
ECR拡張スキャンでRailsアプリを診断した際の脆弱性警告(偽陽性)への対策 - メドピア開発者ブログ
皆様こんにちは、サーバーサイドエンジニアの草分です。 最近ポケモン最新作を買ってしまったのでひたすら野原でボールを投げ続ける日々を送っています。 さて本題に入りましょう。 Amazon ECRには、pushしたコンテナイメージへのイメージスキャン(脆弱性診断)機能があります。 Image scanning - Amazon ECR メドピアではこれを利用して全社横断的にアプリの脆弱性の検知および可視化を行っています。 脆弱性が検知された場合の表示 この記事では、Railsアプリをイメージスキャンした際の【偽陽性】警告の問題と、その解決策について紹介いたします。 問題 ECRのイメージスキャンには「基本スキャン」「拡張スキャン」の2種類があり、この内の拡張スキャン(Enhanced scanning)では、Rubyのgemやnpmのパッケージなども診断の対象となります。 Gemfile.lo
SREチームのセキュリティインシデントゲームデー - メドピア開発者ブログ
CTO室SREの侘美です。最近はM5Stackを嗜んでおります。 ここ半年ほど、MedPeerグループ全体のAWSのセキュリティ改善に力を入れてきました。 その中で、AWS Well-Architectedのセキュリティのベストプラクティスにも記載があるゲームデーを実施したところ、とても学びが多かったので本記事にまとめました。 ゲームデーとは？ Well-Architectedには以下のように記載されています。 ゲームデーを実施する ゲームデーを実施する: さまざまな脅威について、インシデント対応イベントのシミュレーション (ゲームデー) を実施します。このゲームデーには、主要なスタッフや管理者を参加させてください。 教訓から学ぶ: ゲームデーの実行から得られた教訓は、プロセスを改善するためのフィードバックに含まれている必要があります。 出典: https://wa.aws.amazon.
マイクロサービスのQA・セキュリティ自動化テスト社内ツール「Testdeck」をOSS化しました！ | メルカリエンジニアリング
こんにちは。Product Securityチームの@gloriaです。前回、自動化テストエンジニアからセキュリティエンジニアへのキャリアチェンジについて記事を書きました。 今日は、最近OSSとして公開した社内ツールのプロジェクトについてお話をしたいと思います！ 「Testdeck」とは？ TestdeckはGolangで書いたgRPCマイクロサービスのインテグレーションテスト、エンドツーエンドテスト（E2E）とセキュリティテストの自動化ツールです。以下の機能を提供しています： gRPCとHTTPエンドポイントのインテグレーションテスト・E2Eテスト ファズテスト 悪意のあるペイロードの注入（Burp SuiteのIntruderという機能のように） gRPCとHTTPリクエストのユーティリティメソッド CharlesやBurp Suiteなどのデバッギングプロクシーに接続し、リクエストの
英国家サイバーセキュリティセンター、用語「whitelist」「blacklist」を使用中止へ | スラド セキュリティ
英政府通信本部(GCHQ)の国家サイバーセキュリティセンター(NCSC)は4月30日、サイバーセキュリティ用語としてこれまで使用してきた「whitelist」「blacklist」の使用をやめ、「allow list」「deny list」へ置き換えることをブログで発表した(NCSCのブログ記事、 The Registerの記事)。 現在、サイバーセキュリティの現場では「許可」「不許可」を示す用語として「whitelisting」「blacklisting」が普通に使われている。しかし、これは「white」を良い、「black」を悪いと結び付けた場合にのみ意味を成す表現であり、「allow list (許可リスト)」「deny list (不許可リスト)」と表現する方が明確だ。用語の置き換えはサイバーセキュリティから人種差別を取り除くのにも役立つという。 このような用語置き換えをする計画は
『ゼロトラストネットワーク』を読んだ感想 - 虎の穴開発室ブログ
皆さんこんにちは。 虎の穴ラボのY.Fです。 今回は、いつものプログラミング系の記事とは趣向を変えて、株式会社オライリー・ジャパン様から発刊されている『ゼロトラストネットワーク』を読んだので、感想などをつらつら書いていきたいと思います。 www.oreilly.co.jp 読んだ動機 弊社ではオライリーの年間定期購読に申し込んでいます。なので、なんとオライリーの新刊が発売日には読み放題です！ これを活かさない手はないと発売前から気になっていた『ゼロトラストネットワーク』を読んでみた次第です。 (過去届いた書籍の一部はこちら) gramho.com gramho.com 目次 本書の目次は以下になります。 目次 はじめに 1章 ゼロトラストの基礎 1.1 ゼロトラストネットワークとは何か 1.2 境界モデルの進化 1.3 潜在的な脅威の進化 1.4 境界モデルの弱点 1.5 信用の在りか 1
結局、パスワードの定期変更は不要なのか、必要なのか
今さら聞けない「セキュリティ基礎の基礎 利用者を特定するための基本的な手段としてIDとパスワードを用いた方法（認証）が広く利用されています。しかし、この方法はIDとパスワードの組み合わせが分かれば、誰でもその人になりすますことができます。特にパスワードは機密性が高いため、漏えいしないように厳格な管理が求められます。 「パスワードの定期変更は不要」と一様に思われがちですが、必ずしもそうとは言い切れません。今回はパスワードの定期変更について解説します。 総務省の見解 2004年、総務省はパスワードが漏えいした場合、パスワードを定期的に変更していれば、被害を防ぐことができるため、パスワードの定期変更を推奨していました。 しかし2018年には、パスワードの作り方がパターン化して容易に推測されやすくなるリスクやパスワードを使い回すことを助長しかねないことから、パスワードの定期変更に関する内容を変更し
（サイバーな）セキュリティのお仕事まとめ - Security along DesigN
セキュリティ人材とか、セキュリティエンジニアとかバクッとした呼ばれ方をされることも少なくないですが、その中にも色々なお仕事があります。それをザクッとまとめてみました。主に学生向けです。 以前、高校生向けの講演の時に作成したもの（当時からはちょっと直してます）で、イメージ重視で網羅性とか区分の正確性とかはちょっと脇に置いてしまっていますが、とりあえずは「意外と色々あるんだな」というのが伝われば幸いです*1。 もとのパワポもここに置いておきますのでご自由にお使いください（イラストは「いらすとや」のものです。その利用規約に従ってくださいませ）。 とにもかくにも、君の選ぶセキュリティの道に幸あれ！ 更新（2019/10/30）： みなさまからいただいたご意見をどうにかおさめたつもりですが、やはり難しいです…汲み取りきれてない方ごめんなさい…でもね、職種が重要なのではなくて、世の中を守りたい良くした
滞りなくサービスをクローズするために必要なこと - メドピア開発者ブログ
メドピアエンジニアの難波です。 医師専用コミュニティサイト「MedPeer」では、今年の8月にMedPeer Journalというサービスのクローズを行いました。今回の記事ではその時に行った作業の紹介をしたいと思います。 サービスの新規開発に関する記事というものは世の中にたくさんあれど、大規模なサービスにおける一部機能（サービス）の終了に関する経験や知見は中々オープンにされにくいものです。しかしサービスを滞りなく素早く終了させることは新しいサービスを作るリソースの確保という観点でも大事なことであり、今回の記事が将来の参考になればと思い1つの事例としてここに認めます。 MedPeer Journalについて MedPeer Journal（以下Journal）とはPubMed(Wikipedia)という医学を中心とする生命科学の文献情報を収集したオンラインデータベースへの検索エンジンを利用し
標的型攻撃に利用されたオープンソースの Post-Exploitation フレームワークを調べてみた - 生産性のない話
とても久しぶりにブログを書いてみます。 国内外でセキュリティベンダーが標的型攻撃に関する記事を公開していますが、その中で最近、オープンソースのツールを利用した攻撃を見かけるようになりました。 今回はそうした標的型攻撃に利用されたオープンソースの Post-Exploitation フレームワークについて調べたので、その内容をまとめます。 はじめに 今回紹介しているツールはオープンソースソフトウェアとして公開されており、容易に悪用するすることができます。 今回の記事は、あくまでこうしたツールを用いた攻撃への対策を検討する際の参考なればという思いから公開しているものであり、決して悪用を促すものではありません。 また、今回の調査は個人でセキュリティの記事やブログをソースとしてまとめたものです。記事の内容の正確性は保証できません。 Post-Exploitation ツールについて Post-Ex
Cross-Site Scripting (XSS) Cheat Sheet - 2024 Edition | Web Security Academy
Cross-site scripting (XSS) cheat sheet This cross-site scripting (XSS) cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector. You can download a PDF version of the XSS cheat sheet. This is a PortSwigger Research project. Follow us on Twitter to receive updates. Downloaded
[GCP] GCPサービスを勝手にまとめてみた - Qiita
GCPって Google Cloud Platform。 Googleアカウントがあれば使用でき、世界中に多くのデータセンターを持つGoogleの大規模なインフラをCloudサービスとして提供している。 何のメモ GCPには数多くのサービスがあり、ちょっとまとめてみようと思った。 どんな時に役立つ？ GCPのこのサービスって何だっけ？どんなんだっけ？と思った時に。 あくまで自分がどんなサービスだったかを思い出すためのメモ。 サービスの分類 おおまかにはこんな感じ。（一部省略してます） ※2019年8月末時点のもの。 ※α版、β版を含む。 https://cloud.google.com/products/?hl=ja よりいろいろ引用してます。 分類 サービス例
![[GCP] GCPサービスを勝手にまとめてみた - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/85a711bc7cc8a82a3906f4c100d7f5885d75d7e5/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-9f5428127621718a910c8b63951390ad.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTkxNiZ0eHQ9JTVCR0NQJTVEJTIwR0NQJUUzJTgyJUI1JUUzJTgzJUJDJUUzJTgzJTkzJUUzJTgyJUI5JUUzJTgyJTkyJUU1JThCJTlEJUU2JTg5JThCJUUzJTgxJUFCJUUzJTgxJUJFJUUzJTgxJUE4JUUzJTgyJTgxJUUzJTgxJUE2JUUzJTgxJUJGJUUzJTgxJTlGJnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9NTYmdHh0LWNsaXA9ZWxsaXBzaXMmdHh0LWFsaWduPWxlZnQlMkN0b3Amcz0xZTg1OWViMmRkNzg3ZDM3MGFmYjRiY2FkNDUzMjAwZA%26mark-x%3D142%26mark-y%3D112%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTYxNiZ0eHQ9JTQwcmlzYTAzMjAmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPWZhMjA1YjhiYzdmZDI4ZWQxMTAzOTQxY2FhOTdhOGNm%26blend-x%3D142%26blend-y%3D491%26blend-mode%3Dnormal%26s%3De0c9e4242ec43ce2e8a0437854280654)
クラスメソッド 標準セキュリティチェックシートを公開しました | DevelopersIO
オペレーション部 江口です。 私の主業務はクラスメソッドメンバーズサービスの品質管理や内部監査なのですが、その活動の一環として企業としての標準のセキュリティチェックシートを作成しました。 このチェックシートがこのたびクラスメソッドの企業サイトで公開されましたのでご報告です。 具体的には「ポリシー」ページに「セキュリティチェックシートの提供」という項目が追加されています。 https://classmethod.jp/policy/ 作成・公開の目的 当社はISO27001/27017、PCI-DSS、Pマーク、SOC2など、様々な認証を取得しセキュリティやサービス品質の向上に努めています。 ですが、お客様によっては認証取得の事実だけでなく、実際にセキュリティ対策としてどのように取り組みを行なっているか、もう少し具体的な情報をご要望いただくことがあります。 そうしたお問い合わせの一助として、
2015 年の Slack セキュリティインシデントにかかる新たな情報のご報告
2015 年の Slack セキュリティインシデントにかかる新たな情報のご報告 Slack チーム一同作成2019年7月18日 Slack では、2015 年のセキュリティインシデントにかかる新たな情報に基づき、約 1 %の Slack アカウントのパスワードをリセットいたしますことをご報告いたします (当時発表された詳細説明はこちら)。パスワードのリセットの対象となりますのは以下 3 つの条件を同時に満たすアカウントとなります。 2015 年 3 月以前に作成されたアカウント 2015 年 3 月以降一度もパスワードが変更されていないアカウント シングルサインオン（SSO）プロバイダーを利用したログインが必須化されていないアカウント この条件に該当しない残り 99 %の「2015 年 3 月より後に作成された」または「2015 年 3 月以降パスワードを変更している」 Slack アカウ
不正アクセスを教訓に GMOペパボが500台超のサーバに導入したオープンソースのセキュリティ監査基盤「Wazuh」とは
不正アクセスを教訓に GMOペパボが500台超のサーバに導入したオープンソースのセキュリティ監査基盤「Wazuh」とは：「検索コマンドを実行したら約5万回のアラートが流れて大変だった」（1/2 ページ） ホスティングサービスなどを提供するGMOペパボは、セキュリティインシデントを教訓に、OSSのセキュリティ監査基盤「Wazuh」を導入。Wazuhを選択した理由やWazuhの導入後に起きた3つの運用課題を解決した方法について語った。 Japan Perl Associationは2019年1月26日、「YAPC::Tokyo」を開催した。本稿ではGMOペパボのホスティング事業部でテックリードを務める山下和彦氏の講演「Wazuhを利用した大統一サーバ監査基盤」の内容を要約してお伝えする。 GMOペパボでは、2018年1月に起きた不正アクセスを教訓にオープンソースソフトウェア（OSS）のセキュリ
情報セキュリティに特化した新会社を福岡に設立 ～個人のインターネット上の安全な表現活動を支援～ | GMOペパボ株式会社
GMOインターネットグループのGMOペパボ株式会社（代表取締役社長：佐藤 健太郎 以下、GMOペパボ）は、昨今の情報セキュリティ対策ニーズの高まりを背景に、情報セキュリティ関連事業を行う新会社、GMOペパボガーディアン株式会社（以下、GMOペパボガーディアン）を、GMOペパボ創業の地である福岡に設立することを決定いたしました。設立日は2018年9月3日を予定しています。 GMOペパボガーディアンでは、個人のインターネット上での表現活動を守るための、情報セキュリティ関連サービスやアプリケーションの開発・販売及びコンサルティングを行う予定です。 【新会社設立の背景】 近年では、モバイル端末の普及に加え、IoTやAI、ビッグデータといったIT技術の革新に伴って、情報セキュリティ対策の重要性やニーズが高まっています。 GMOペパボは、2003年の創業以来、「インターネットで可能性をつなげる、ひろげ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
流出の恐れのある個人情報計37万件に 九電系の給湯器販売会社（朝日新聞デジタル） - Yahoo!ニュース
セキチク | 委託先のセキュリティチェックをクラウドで一元管理
コンテナセキュリティ関連OSSの紹介〜今すぐ始める無料の脆弱性検査〜
