ECサイトのクロスサイトスクリプティング脆弱性を悪用した攻撃 - JPCERT/CC Eyes
攻撃者は、はじめに標的のECサイトの注文フォームに対し、不正なスクリプトを含んだ文字列を入力し、購入処理を行います（図1の①）。その結果、ECサイトの購入処理の部分にXSSの脆弱性が存在する場合、ECサイトの管理画面を閲覧した管理者は不正なスクリプトが実行され、クレデンシャル情報の窃取や、ECサイトへの簡素WebShellの設置などが行われます（図1の②～④）。その後、攻撃者によってECサイトにWebShellやユーザーの情報窃取を行うJavaScriptなどが設置されます。設置された“情報窃取JavaScript”によってECサイトを利用するユーザーのクレジットカード情報等を窃取され、“情報保存ファイル”としてECサイト内に保存されます（図1の⑤）。攻撃者は定期的なWebShellへのアクセスを行うことでこれらの情報を窃取していたと推測されます（図1の⑥）。 なお、攻撃者は、一連の攻撃の
Have I Been Pwned: Check if your email has been compromised in a data breach
Breaches you were pwned in A "breach" is an incident where data has been unintentionally exposed to the public. Using the 1Password password manager helps you ensure all your passwords are strong and unique such that a breach of one service doesn't put your other services at risk. Pastes you were found in A paste is information that has been published to a publicly facing website designed to share
【新機能】AWS Firewall Managerを使ってみた | DevelopersIO
こんにちは、臼田です。 今回は新しく提供が開始されたAWS Firewall Managerを触ってみたので、概要と用途・実際の操作方法をまとめてみたいと思います。 Firewall Managerとは AWS Firewall Manager は多数のアカウントとアプリケーションにわたって中央で AWS WAF ルールを設定、管理することを容易にするセキュリティ管理サービスです。Firewall Manager をお使いいただくことで、AWS Organizations の多数のアカウントに横断的に、Application Load Balancers と Amazon CloudFront のディストリビューションに対する AWS WAF ルールを簡単にロールアウトできます。 AWS Firewall Manager | 一元的な WAF 管理 | アマゾン ウェブ サービス (AWS
あのパスワード規則、実は失敗作だった - WSJ
パスワードに記号や大文字や数字を盛り込み、定期的に変更するというルールは間違いだったと当事者が告白。
米有権者2億人弱の個人情報1.1テラバイト分がうっかり流出
全部刷りだしたら100億ページ分！ 有権者情報の露出としては人類史上最大です。 トランプ大統領当選を支えた共和陣営の調査会社から、アメリカ全人口の62%にあたる1億9800万人の有権者の個人情報1.1テラバイト分が今月ウェブに野ざらしになっていたことがわかりました。有権者のセンティメント分析で集めたデータポイントは計95億件。それらがAmazonクラウドサーバーに12日間、パスワード未設定で保存されており、リンクさえあれば誰でもアクセスしダウンロードできる状態だったといいます。 保存したのは共和党全国委員会（RNC）が選挙運動で雇ったマーケティング会社Deep Root Analyticsです。米Gizmodoからの取材に対し、事実に間違いないと認めました。 ただの個人情報じゃありません。銃規制に反対かどうか、幹細胞研究に反対かどうか、中絶に反対かどうか、下手すると宗教と民族までわかります
政府統一基準に準拠したAWSクラウド利用のセキュリティリファレンスを共同で提供開始
株式会社NTTデータ（本社：東京都江東区、代表取締役社長：岩本 敏男、以下：NTTデータ）、PwCあらた有限責任監査法人（東京都中央区、代表執行役：木村 浩一郎、以下：PwCあらた）、富士ソフト株式会社（本社：神奈川県横浜市、代表取締役 社長執行役員：坂下 智保、以下：富士ソフト）ら各社は共同で、内閣サイバーセキュリティセンター（以下：NISC）制定の政府統一基準に対応したセキュリティリファレンス（以下：リファレンス）を作成し、2017年3月23日より、政府機関向けに無償提供を開始します。本リファレンスは、クラウドサービス「アマゾン ウェブ サービス」（以下：AWS）環境におけるセキュリティ対応策の詳細を網羅的に提示しています。 NISCは2016年8月31日に、国内の政府機関が準拠すべき指針「政府機関の情報セキュリティ対策のための統一基準（平成28年度版）」（以下：「政府統一基準」）を改
2017年版 AWSの侵入テストについて | DevelopersIO
2017年9月23日更新 許可されているリソースについてアップデートがあることを確認したので「対象リソースについて」を更新しました 2018年11月07日更新 ブログを更新しました。 【2018年版】AWSの脆弱性テスト、侵入テストについて はじめに 以前AWSの侵入テストについて(Amazon EC2への侵入テスト申請について)を投稿しましたが、 新たに「Total Bandwidth (Please provide expected Gbps)*」の項目が追加されたので、 侵入テストに関する確認事項や内容についてアップデートしました。 侵入テスト AWSではAWS環境への、またはAWS環境からの侵入テストと脆弱性スキャンを実施する場合、 AWSで禁止されている行為と区別するために事前に侵入テストの承認を得る必要があります。 侵入テスト 私たちの適正利用規約では、禁止されているセキュリテ
Amazon KinesisとAWS WAFを利用して、サーバレスでリアルタイムな侵入防止システムを作ってみた | DevelopersIO
Amazon KinesisとAWS WAFを利用して、サーバレスでリアルタイムな侵入防止システムを作ってみた はじめに AWSチームのすずきです。 ストリーミングデータの処理サービスのAmazon Kinesisを利用して、Webシステムのアクセスログ解析を実施し、 不正アクセス元と判定されたソースIP情報を、Lambdaを利用して、AWS WAFに反映する事で、 サーバレスでリアリタイムな侵入防止システム(IDS)を実現する機会がありました。 今回、その概要について紹介させて頂きます。 構成概要図 AWS WAF ELB は WAFに対応した ALB (Application Load Balancer) を利用します。 AWS WAF は、指定したIPアドレス(Conditions)のアクセス制限を実現するルール、ACLを設定します。 ACLs Rule Conditions 参考:
PHPに関するHTTPOXY脆弱性の問題と対応方法 - Code Day's Night
外部から簡単にHTTP_PROXYという環境変数がセットでき、サーバ間通信や外部サイトと連携している場合に影響があるかもしれない脆弱性です。(HTTPoxy. CVE-2016-5385) PHPの場合はphp-fpm, mod_php, Guzzle4以上やいくつかのライブラリで影響あります。 対応方法は簡単です。 Apache側で対応する場合は、mod_headerを使える状況であれば、confファイルに下記の1行を追加。 RequestHeader unset Proxy FastCGIの場合は下記の1行を追加。 fastcgi_param HTTP_PROXY ""; Guzzleは6.2.1で対応されたようです。 Release 6.2.1 release · guzzle/guzzle · GitHub コミットログを見ると、CLIの時のみ、getenv('HTTP_PROXY
HTTPS 化する Web をどう考えるか - Block Rockin’ Codes
Update 2015/5/8: 指摘頂いたタイポや誤訳などを更新しました。 2015/5/8: 構成を一部修正しました。 Intro 4/30 mozaiila のセキュリティブログに下記のようなエントリが投稿されました。 Deprecating Non-Secure HTTP | Mozilla Security Blog エントリはそこまで長くないので、ここに翻訳の全文を記載します。 そして、元エントリのライセンスである CC BY-SA 3.0 に則り、 本エントリも同じく CC BY-SA 3.0 とします。 Deprecating Non-Secure HTTP 原文: Deprecating Non-Secure HTTP 今日は、 non-secure な HTTP から、徐々に廃止していくという方針についてアナウンスします。 HTTPS が Web を前進させる手段である
今すぐできる、Webサイトへの2要素認証導入
(Last Updated On: 2018年8月14日)Google、Facebook、Amazon(AWS)、Githubなど、大手Webサービス会社が2要素認証を取り入れてしばらく経っています。自分のWebサイトでも2要素認証を導入したい！と思ったことは無いですか？ 簡単に可能です！ パスワード認証だけではもう安全とは言えません。ぜひ2要素認証を自分のサービス／プロダクトに導入してください。 2要素認証とは？ 2要素認証（2 Factor Authentication）とはパスワードとは別の認証コードを利用してユーザーを認証する方式です。2段階認証（2 Step Authentication）と呼ばれることもあります。複数の認証要素を利用して認証するので多要素認証（Multi Factor Authentication） とも呼ばれています。AWSでは2要素認証をMFAと呼んでいます
WebサイトをOSごと強制終了させる攻撃コードを確認（MS15-034） |
2015年4月15日に公開された Microsoft のセキュリティ更新プログラムリリース「2015年4月の Microsoft セキュリティ情報の概要」では、4件の脆弱性が深刻度「緊急」とされました。その「緊急」の 1つである「MS15-034「MS15-034 HTTP.sys の脆弱性により、リモートでコードが実行される (3042553)」の脆弱性（CVE-2015-1635）に対し、早くも Webサーバをオペレーティングシステム（OS）ごと強制終了させる攻撃が可能な実証コード（PoC : Proof of Concept）が公開されました。この実証コードは攻撃が非常に容易である危険性が高いものであるため、特に脆弱性に該当する Windows で Webサイトを運営、管理されている管理者の方は、速やかにアップデートを行うことを推奨します。 この MS15-034 の脆弱性は、Win
「Hacked by Islamic State」と改ざんされた国内のウェブサイトについてまとめてみた。 - piyolog
2015年3月5日頃から国内外の複数のウェブサイトを対象に、「Hacked by Islamic State」等と改ざんされるインシデントが相次ぎました。ここでは関連情報をまとめます。 注意喚起 2015年3月11日 (PDF) 「Islamic State (ISIS)」と称する者によるウェブサイト改ざんについて - 警察庁 2015年3月12日 (PDF) 「Islamic State（ISIS）」と称する者によるウェブサイト改ざんに係る注意喚起について - 警察庁 国内で被害を受けたウェブサイト一覧 改ざんパターン(1)のサイト 改ざん時期 地域 被害組織 公式発表 fancybox for WPの 利用有無 2015年3月8日 東京 府中アスレティックFC 3月8日 府中アスレティックFC 公式HP復旧のお知らせ 利用あり 〃 兵庫 西宮観光協会 3月11日 「西宮まちたび博」ホー
Tracking the FREAK Attack
On Tuesday, March 3, 2015, researchers announced a new SSL/TLS vulnerability called the FREAK attack. It allows an attacker to intercept HTTPS connections between vulnerable clients and servers and force them to use weakened encryption, which the attacker can break to steal or manipulate sensitive data. This site is dedicated to tracking the impact of the attack and helping users test whether they
クレジットカード情報の漏えい事故の責任 東京地判平26.1.23判時2221-71 - IT・システム判例メモ
クレジットカード情報が漏えいしたことについて，ウェブサイトの保守事業者の責任が問われた事件。 事案の概要 XはYに対して，平成21年2月4日，Xのウェブサイト（本件ウェブサイト）のウェブ受注システム（本件システム）の導入を合計約900万円で発注した。本件システムは，EC-CUBEをカスタマイズして開発された。Yは，本件システムを完成させ，平成21年4月頃に検収を受け，同月15日から本件ウェブサイトが稼働した。XとYとの間では，何度も発注が繰り返され，代金合計は約2000万円に上った。 その後，XとYは，本件システムの利用を毎年更新した。Yは，Zとの間でサーバ利用契約を締結し，Zが設置したレンタルサーバ（本件サーバ）に本件システムのデータを保存していた。 平成22年1月に入り，YはXの依頼を受けて本件システムを変更し，顧客のクレジットカード情報（カード会社名，カード番号，有効期限，名義人，支
iOSの正規アプリをマルウェアに置き換えられる脆弱性、セキュリティ企業が報告
FireEyeは、App Storeから入手した正規アプリをマルウェアに置き換えることができる脆弱性を見つけたと発表した。 セキュリティ企業のFireEyeは11月10日、iOS端末にインストールされた正規アプリをマルウェアに置き換えることができてしまう脆弱性を見つけたと発表した。既に一部のマルウェアで悪用され始めているといい、無線ネットワークやUSB経由で攻撃を仕掛けられる恐れがあると警告している。 同社によると、この攻撃では「エンタープライズ／AdHocプロビジョニング」を使ってインストールしたアプリを、App Storeから入手した別の正規アプリに置き換えることが可能。iOSのプレインストールアプリを除く全てのアプリを置き換えることができるという。同社はこの攻撃を「Masque Attack」（マスク攻撃）と命名している。 脆弱性は、iOSで同じバンドル識別子（Bundle Iden
Strict-Transport-Security - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection サイトの安全化 HTTP Observatory HTTP アクセス制御 (CORS) HTTP 認証 HTTP キャッシュ HTTP の圧縮 HTT
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - widdix/aws-s3-virusscan: Antivirus for Amazon S3
GitHub - awslabs/git-secrets: Prevents you from committing secrets and credentials into git repositories
GitHub - jankais3r/iOS-Mail.app-inject-kit: iOS 8.3 Mail.app inject kit
