コンピュータウイルス感染事案有識者会議調査報告書について つるぎ町立半田病院
徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議調査報告書について 令和3年10月31日の未明、つるぎ町立半田病院がサイバー攻撃を受け、電子カルテをはじめとする院内システムがランサムウェアと呼ばれる身代金要求型コンピュータウイルスに感染し、カルテが閲覧できなくなるなどの大きな被害が生じました。令和4年1月4日の通常診療再開までの間、患者さんをはじめ関係者の皆さまには多大なご迷惑とご心配をおかけいたしましたこと、改めて深くお詫び申し上げます。 事件発生後、当院の職員は一丸となって早期復旧を目指しました。全容解明や情報漏えい有無の特定よりも、まずは病院としての機能を一日も早く取り戻すために、患者さんのデータをいかに復元させるか、端末を利用できる状況にどのように戻すかに焦点を当てインシデント対応を行っていきました。幸いにして、調査復旧を請け負った事業者の作業、電子カルテ業者の仮シ
私のセキュリティ情報収集法を整理してみた（2021年版） - Fox on Security
新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増している気がしますので、今年は海外情報源から書きたいと思います。 昨年の記事では多くの海外サイトを紹介しましたが、試行錯誤の結果、まとめサイトでもある「morningstar SECURITY」や「DataBreaches.net」を押さえておけば、主要サイトが概ねカバーされると分かったので、今年は数を絞っています。 サイト キタきつね寸評 morningstar SECURITY 去年と変わりませんが、情報の更新頻度、そして関連ソースの網羅性という意味では、英語系のセキュリティニュースとしては最良の情報ソースの１つかと思います。私は「Daily Secur
新卒のセキュリティ研修用に使用したアプリケーションを公開します！【2020年度】 - Qiita
普段はWeb系の会社でアプリケーションの開発をしている @oliver_diary です。 2020年度も始まり、新卒研修が各場所で行われていると思います。 私の所属する会社では、リモート上での研修が始まり、初めての環境で慣れないながらも、みんなで知恵を絞って協力しています。 私は、2020年4月から情報処理安全確保支援士になったこともあり、今回社内のセキュリティ新卒研修を担当しました。 そこで、今回使用した研修内容が参考になればと思い、実際に使用した自作のCTFみたいなアプリケーションを公開しようと思います。 自作アプリケーションについて 今回使用したアプリケーションは少し手を加えていますが、下記にて公開しています。是非みなさんも解いてみてください。 https://sec-kensyu-2020.web.app/ 問題は8問あり、Firebaseをメインの題材にしています。 SQLイン
社内で毎週公開してるセキュリティコンテンツ3ヶ月分を公開します【2020年4月〜7月】 - Qiita
はじめに 普段はWeb開発を生業としている おりばー(@oliver_diary) です。 今年の4月から情報処理安全確保支援士として、社内のセキュリティ向上に努めているのですが、その取り組みの一つとして社内Slackに毎週セキュリティトピックを公開しています。 毎週続けて3ヶ月が経過しましたが、社内だけに閉じておくのは勿体ないと思ったので、記事としてまとめて投稿します。みなさんのセキュリティ意識向上の助けになればと思います。 またセキュリティ研修用に使用したアプリケーションの記事も公開しているので、そちらも併せてご覧ください。 Gitの脆弱性（2020/04/23） みなさん、既にバージョンをあげている方もいると思いますが、Gitにとても深刻な脆弱性が発見されました。 http://www.security-next.com/114201 https://github.com/git/g
セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか - ぶるーたるごぶりん
セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか 自分の振り返りも兼ねて2年分の勉強内容とかをざっくりまとめようと思います。 新卒からバックエンド開発を2年程行い、その後セキュリティエンジニアとして横断セキュリティ部門に異動しました。 そこから更に2年が経ち、来月からセキュリティサービスの開発とかをすることになったので、 もし同じような人が居た際になんとなし参考になればいいかなという意図で書いてます。 ちなみにセキュリティ部門に異動するまでのセキュリティの知識レベルは「徳丸本を2回通しで読んでる」程度です。 セキュリティ部門に移ってからは脆弱性診断・ログ監視・開発ガイドライン周り・脆弱性管理とかをやってました。 本記事では自分自身がユーザ系の企業に属しているので、ベンダーとかそちら寄りの内容ではないです。 あとできる限り社内の事情を記載しません。何が問題になる
ゲーム開発を加速させる クライアントセキュリティ
2. Copyright © DeNA Co.,Ltd. All Rights Reserved. ⾃⼰紹介 ! Tetsuya Shiota (汐⽥ 徹也) @shioshiota ⁃ セキュリティエンジニア@DeNA • 新卒⼊社からずっとセキュリティ技術グループ ⁃ 学⽣の頃: プログラミング⾔語の研究・競技プログラミング ! ミッション: ⁃ すべてのサービスの脆弱性診断 • スマホゲーム・ゲームプラットフォーム・ECサイト等 ⁃ 設計のセキュリティ⾯のレビュー • 認証認可フロー・購⼊フロー・チート対策設計等 ⁃ インシデント対応 ⁃ 社内セキュリティの改善・監視 2 3. Copyright © DeNA Co.,Ltd. All Rights Reserved. DeNAの事業領域について ! オンラインモバイルゲーム ! ゲームプラットフォーム ⁃
内製ツールを使ったチート診断・脆弱性診断
- The document discusses various networking and security concepts including packet proxying, DNS tunneling, and JSON parsing. - Key points include using a packet proxy to intercept and modify DNS requests and responses to hide tunneling activity, as well as a proposed JSON data structure with metadata headers to identify and parse individual JSON objects from a stream. - Security concerns addresse
メアドを入力すると、流出被害に遭っているかが分かる Mozillaが無料のチェックサービス - ITmedia NEWS
専用サイトでユーザーが自分の電子メールアドレスを入力すると、その情報が流出被害に遭っていないかどうかをチェックできる。 米Mozilla Foundationは9月25日、自分のアカウント情報が流出していないかどうかをユーザーがチェックできる無料サービス「Firefox Monitor」の正式提供開始を発表した。 同サービスは、ユーザーが日常的に利用するWebサイトを通じてメールアドレスやパスワードなどが流出する事件が後を絶たない現状を受け、セキュリティ研究者のトロイ・ハント氏が運営する「Have I been pwned？（HIBP）」と提携して開設された。2018年7月から実施していたテストを経て、今回、一般ユーザー向けに正式公開することにしたという。 Firefox Monitorのサービスは、専用サイトの「monitor.firefox.com」を通じて利用できる。ユーザーが自分の
re:Invent 2019セキュリティ関連情報まとめ #reinvent | DevelopersIO
こんにちは、臼田です。 みなさん、セキュリティ向上させてますか？ 今回はre:Invent2019にて発表されたセキュリティ系の新機能やセッション等の情報をまとめていきます。 この記事は随時更新します 新サービス 今回はサイレントで公開されているものも多くまだまだ情報が少ないです！頑張ってキャッチアップしていきます。 [速報] AWS Identity and Access Management Access Analyzerがリリースされました！ #reinvent 意図したアクセス以外のアクションが無いか確認できるサービス！見やすくしてくれるので良さそうです！ [速報] AWS Identity and Access Management Access Analyzerがリリースされました！ #reinvent IAM Access Analyzerでルールを作成し自動的にアーカイブす
コンテナ・セキュリティ入門 脆弱性 - Qiita
コンテナイメージのレジストリでは、脆弱性検査の実装が当たり前になっている。企業でKubernetesなどコンテナを使用するにあたって脆弱性対策がどれほど重要なものか理解するために、脆弱性検査や、関連する国際的な標準について整理した。 脆弱性（ぜいじゃくせい）とは 脆弱性とは、プログラムの動作の不備を悪用される情報セキュリティ上の弱点である。つまり、ソフトウェア上の問題が原因となって生じた欠陥であり、セキュリティホールとも呼ばれる。当然、ソフトウェア開発者は、脆弱性を産まないように細心の注意を払ってコード開発を進めるが、開発者が利用するオペレーティングシステムのライブラリやパッケージに含まれることもある。そのような事情から、開発者の責任範囲外に原因がある場合も多くある。 潜在的な脆弱性を突いた新たなクラッキングの手口が、時間の経過ともに発見される。そのことから、開発当初はコードに脆弱性は無い
scryptがGPUに破られる時 | びりあるの研究ノート
一般的によく知られている SHA-256 や MD5 などのハッシュ関数は非常に単純な設計となっており、非力なパソコンや組み込み機器、スマフォなどでも高速に計算できます。 しかしながらその一方で、ハッシュ関数を手当たり次第に計算し、もとの入力値を復元するいわゆる「ブルートフォース攻撃」が容易であるというデメリットがあります。 特にこのような SHA-256 や MD5 といったハッシュ関数は、GPU を用いるか、もしくは専用のハードウェア (FPGA もしくは ASIC) を製作することで非常に高い効率で計算（攻撃）ができてしまうことが知られています。 そのため、GPU ないし専用ハードウェアを用いたとしても、攻撃効率の改善が難しくなるような新たなハッシュ関数がいくつか提案されています。 その中で比較的古く (2012年ごろ) に開発され、他のハッシュ関数にも影響を与えている「scrypt
第1回 暗号化の基礎
暗号化技術は、情報の保護やコンピューターセキュリティに欠かせない技術である。今回は暗号化技術の基礎として、暗号化の基本、暗号の安全性、共通鍵暗号と公開鍵暗号について解説。 暗号化技術は、情報の保護やコンピューターセキュリティに欠かせない技術である。ファイルやデータの暗号化の他、HTTPSや、無線LANにおけるWEP／WPA／TKIP／AESのようなセキュアな通信、証明書やデジタル署名、PKIなど、多くの場面で暗号化技術が使われている。今回からしばらくは、暗号化の基礎や共通鍵暗号、公開鍵暗号、証明書、PKIなどについて、IT Proの初心者向けに暗号化技術の基礎を解説していく。今回は、暗号化の基礎を解説する。 暗号化とは データを保護するだけなら、暗号化ではなく、「ファイルの許可属性（読み出し禁止などの属性）」や「アクセス制御（ACL）」などの方法もある。これらは、アクセスするユーザーに応じ
【セキュリティ ニュース】クラウド時代の暗号技術を解説した資料を専門家が無償公開（1ページ目 / 全1ページ）：Security NEXT
暗号化技術を解説した「クラウドを支えるこれからの暗号技術」が公開された。githubよりダウンロードできる。 同資料は、おもに2000年以降に登場した暗号技術を中心に紹介するもので、サイボウズ・ラボの光成滋生氏が執筆した。入門書と専門書の中間の位置づけだという。 共通鍵暗号や公開鍵暗号、乱数、デジタル署名、PKIなど基本的な技術の解説にはじまり、2014年に話題を呼んだ「POODLE」や仮想通貨「Bitcoin」で利用されている楕円曲線暗号などにも言及している。 そのほか、「検索可能暗号」「準同型暗号」をはじめ、「プロキシ暗号」「放送型暗号」「IDベース暗号」「ゼロ知識証明」など、従来の暗号にないあらたな技術を紹介している。200ページほどのPDFファイルで、githubよりダウンロードできる。 （Security NEXT - 2015/03/26 ） ツイート
盗聴を完全に不可能にする「量子化インターネット」の構築が本格的に進行中
By Carlos Lee 2013年、アメリカの国家安全保障局(NSA)や連邦捜査局(FBI)などの政府系機関が秘密裏に国民の情報収集をしていた問題が明らかになり、インターネットの秘匿性が大きな話題になりました。通信の秘匿性を高める技術の根幹は暗号化なのですが、「究極の暗号化技術」とも呼ばれる「量子インターネット」の構築に向けた取り組みがアメリカと中国で進められています。 Building a globe-spanning quantum internet | The Verge http://www.theverge.com/2014/11/18/7214483/quantum-networks-expand-across-three-continents 元CIA職員のエドワード・スノーデン氏がリークした情報により、政府機関が「PRISM」と呼ばれる極秘の監視システムを用いて通信内容
OpenSSLの脆弱性(CVE-2014-3511)でTLSプロトコルの基礎を学ぶ - ぼちぼち日記
1. はじめに、 昨日 OpenSSLのバージョンアップがアナウンスされ、９つの脆弱性が公開されました。バージョンアップの数日前にOpenSSLの次期リリース予告がアナウンスされていましたが、ちょうど BlackHat 開催初日にあたることもあり、なんかまた重大な脆弱性の修正が入るんじゃないかとドキドキしていました。蓋を開けてみるとHeatBleed程の大事ではなくホットひと安心です。 昨日公開されたOpenSSLの９つの脆弱性のうち、TLS プロトコルダウングレード攻撃 (CVE-2014-3511)の修正を見ていたところ、これはTLSプロトコルを学ぶいい題材になるなぁとふと思いつき、試しにこのOpensslの脆弱性の詳細をTLSプロトコルの基礎に合わせて書いてみました。 ちょっと長いですが、TLSプロトコルの仕組み（の一部）を知りたい方はお読みください。 2. OpenSSLの脆弱性
強烈なDNSキャッシュポイズニング手法が公開される:Geekなぺーじ
本日、JPRSが緊急の注意喚起を公表しました。 緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年4月15日公開）- 問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨 それに対して、2月中旬に脆弱性を発見してJPRSへと報告していた鈴木氏(脆弱性は前野氏との共同発見)が、JPRSの注意喚起では「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」として、以下の情報を公開しています。 開いたパンドラの箱 - 長年放置されてきたDNSの恐るべき欠陥が明らかに キャッシュポイズニングの開いたパンドラの箱 キャッシュポイズニングの開いたパンドラの箱 - 2 - 本来であれば、より上位からの正規の回答が優先されなければならないはずなのに、下位側が優先される仕様になっているので、偽装されたデータが優先されてしまう
初心者Webアプリケーション開発者がチェックすべき情報源 - ハニーポッターの部屋
初心者Webアプリケーション開発者がチェックすべき情報源を集めてみた。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。 @ikepyonさんのご指摘により「LASDEC ウェブ健康診断」を追記した。 はてなブックマークの関連リンクによさそうな情報源があったので追記しました。それから、カテゴリを作りました。 ■Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html 安全なウェブサイトの作り方(全92ページ、2.09MB） セキュリティ実装 チェックリスト（Excel形式、33KB） 安全なSQLの呼び出し方（全40ページ、714KB） ■Webアプリケーション開発 セキュア・プログラミング講座 http://www.ipa.go.jp/security/awareness/ve
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ペネトレーションテストが脆弱性診断の上位互換サービスであるという誤解 ～ セキュリティ標準化企業 SHIFT SECURITY 執行役員 松尾雄一郎に聞く | ScanNetSecurity
AWSでのセキュリティ対策全部盛り[初級から中級まで]![AWSでのセキュリティ対策全部盛り[初級から中級まで]](https://cdn-ak-scissors.b.st-hatena.com/image/square/b014e56d2eedba5a43b5c5f7524c22b8b030d6e1/height=288;version=1;width=512/https%3A%2F%2Ffiles.speakerdeck.com%2Fpresentations%2Faba22209644646ee9ff21ef72d5a439d%2Fslide_0.jpg%3F14040252)
地獄のJavaScriptセキュリティ