AWS環境における脅威分析と観点洗い出し - Qiita
目次 1. はじめに 2. 脅威分析について 3. 脅威分析の方法 4. AWS環境における脅威の洗い出し 5. まとめ はじめに 業務でAWS環境にあるサービスへの脅威分析について検討することがあり、 その中で悩んだことや発見を書き綴っています。 そもそも脅威分析とはどういうもので、それがどう役立つのか 特にAWS環境への脅威分析と観点の洗い出しいう所に焦点をしぼって書きました！ 脅威分析について そもそも脅威分析とは何なのでしょうか？ 脅威分析とは、システムやアーキテクチャの構造における脅威を洗い出し、 想定しうるリスクや守りたい資産は何かを把握する分析のことです。 その分析をすることで、リスクが高い部分を認識し、優先的にどのような対応をしていくかの計画をすることができます。 ※この記事内の「リスク」や「脅威」は以下の意味で記載 リスク：損害を発生させる可能性のこと 脅威：リスクを引き
シングルサインオンとは？仕組みや認証方式、メリットを解説｜ITトレンド
シングルサインオン（SSO）とは シングルサインオン（SSO：Single Sign On）とは、一度のユーザー認証で複数のサービスや社内システムにログインできる仕組みです。IDやパスワードの入力負担や管理の手間を軽減する手段として、多くの企業で導入が進んでいます。 ID管理やユーザー認証における課題 IDやパスワード管理において、「ユーザー認証の手間」「ID・パスワード管理の煩雑さ」「管理業務の負担増加」「情報漏えいリスクの増加」が課題として挙げられます。 通常、複数のサービスには個別にログインをしなければなりません。従業員はその都度ログイン認証を行うため、利用している社内システムやクラウドサービスが多いほど認証回数が増え、入力の負担は増加します。また、IDやパスワードもサービスごとに設定・管理しなければなりません。利用者の管理が煩雑になるだけでなく、パスワードの失念やアカウントロックへ
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
Rails セキュリティガイド | Rails ガイド
このマニュアルでは、Webアプリケーション全般におけるセキュリティの問題と、Railsでそれらの問題を回避する方法について説明します。 このガイドの内容: 本ガイドで取り上げられている問題に対するあらゆる対策 Railsにおけるセッションの概念、セッションに含めるべき項目、有名なセッション攻撃 Webサイトを開くだけで（CSRFによる）セキュリティ問題が発生するしくみ ファイルの取扱い上の注意、管理インターフェイスを提供する際の注意事項 ユーザーを正しく管理する（ログイン・ログアウトのしくみ、あらゆるレイヤにおける攻撃方法） 最も有名なインジェクション攻撃方法の解説 1 はじめに Webアプリケーションフレームワークは、Webアプリケーションの開発を支援するために作られました。フレームワークの中にはセキュリティを比較的高めやすいものもあります。実際のところ、あるフレームワークは他のよりも安
「バレバレじゃん」総当たり攻撃時のパスワード最大解読時間を表で示してみた「桁数を増やすことに意味がある」
Sen Ueno @sen_u サイバーセキュリティの株式会社トライコーダ、OWASP Japan Chapter Leader など。飲むとすぐ寝る。 tricorder.jp
ユーザー アカウント、認証、パスワード管理に関する 13 のベスト プラクティス2021 年版 | Google Cloud 公式ブログ
※この投稿は米国時間 2021 年 5 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。 2021 年用に更新: この投稿には、Google のホワイトペーパー「パスワード管理のベスト プラクティス」のユーザー向けとシステム設計者向けの両方の最新情報を含む、更新されたベスト プラクティスが含まれています。 アカウント管理、認証、パスワード管理には十分な注意を払う必要があります。多くの場合、アカウント管理は開発者や製品マネージャーにとって最優先事項ではなく、盲点になりがちです。そのため、ユーザーが期待するデータ セキュリティやユーザー エクスペリエンスを提供できていないケースがよくあります。 幸い、Google Cloud には、ユーザー アカウント（ここでは、システムに対して認証を受けるすべてのユーザー、つまりお客様または内部ユーザー）の作成、安全な取り扱い、
SMS認証代行、取り締まり強化 犯罪目的防止で警察庁 - 日本経済新聞
アプリなどの利用登録に必要な本人確認手続き「SMS認証」を巡り、有料で他人の認証を請け負う代行業の取り締まりを警察が強化する。警察庁がこのほど全国の都道府県警察に指示した。代行は振り込め詐欺に使われる通話アプリの認証などで悪用の幅が広い。犯罪インフラとして今後も広がりかねないとみて対策に乗り出す。SMS認証は電子決済アプリや通話アプリ、メールサービスの利用登録などの際、スマートフォンの電話番号
不正ログイン対策特集ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
はじめに スマートフォンの普及およびインターネットサービスの拡大に伴い、IPA情報セキュリティ安心相談窓口には、それらサービスへの不正ログイン被害に関する相談が継続して多く寄せられています。被害動向や状況を詳細に把握するために、2017年10月より不正ログインに関する相談件数を個別に集計することとしました。2018年2月末時点で、累計104件の相談が寄せられています。今後も不正ログイン被害に関する相談が継続されると考えられることから、不正ログイン対策について情報提供を行う特集ページを開設することとしました。 本ページでは不正ログイン被害への対策として、「パスワードの作成・管理方法」と「多要素認証の設定」について情報提供を行っています。 「多要素認証の設定」コーナーには、主要な各種インターネットサービスの多要素認証の設定手順書を順次追加していく予定です。 目次 不正ログインについて パスワー
今までの常識は通用しない？安全なパスワードの桁数などの条件とは | セキュマガ | LRM株式会社が発信する情報セキュリティの専門マガジン
※アルファベットは、大文字+小文字を混合している場合です。 桁を多くすること、できるだけ文字列は組み合わせることにより、パスワードをより安全にできることがわかります。 単純にアルファベットだけでも、14桁になると、なんと80万年もかかります。6桁ではすべて秒またはそれ未満の単位でパスワードがわかってしまいます。ちなみに、日本の代表的なセキュリティ機関・団体によると、次のパスワードが推奨されています。 内閣サイバーセキュリティセンター 10桁以上、英数字＋記号の混合 JPCERT/CC 12桁以上、英数字＋記号 8桁といわれていた10年前から変化し、現在は10～12桁＋英数字＋記号のパスワードがより安全なものとして推奨されています。 このルールに、自分の生年月日・電話番号といった自分に関係のある数字を使わないこと、そして、意味のある文字列にしないこと（例えば、Musicloverは不適切）の
「SMS認証＝2要素認証」ではない｜Nathan（ねーさん）
ドコモ口座事件とは少し話題が逸れますが以下の動画を見ていただきたい。 SMS認証が2要素認証にならない場合 分かりにくいので動画。 「斉藤一」はもちろん偽名。 SMSによるワンタイムパスワード入力画面と暗証番号入力画面が同じで、ワンタイムパスワード入力後に暗証番号を任意に設定できる。 pic.twitter.com/WOzGUqpNCM — Nathan（ねーさん） (@Nathankirinoha) September 15, 2020 これはとある電子決済サービスの新規登録画面です（誤解の無いように、電子決済サービスの「口座」と銀行口座との口座振替登録の設定画面ではない）。 このこと自体を問題視するつもりはないですが（そうするべきかどうかは分からない）、とにかく、この画面で要求されるSMS認証（携帯電話番号を登録させ、SMS（ショートメッセージ）等によって任意の認証コードやワンタイムパ
セキュリティ ガイドライン | App quality | Android Developers
Android には、アプリのセキュリティ問題の発生頻度とその影響を格段に軽減するセキュリティ機能が組み込まれています。通常は、デフォルトのシステム権限とファイルへのアクセス許可を使用してアプリを構築することで、セキュリティに関する難しい判断を下す必要がないように、システムが設計されています。 セキュアなアプリの開発を支援する主なセキュリティ機能は次のとおりです。 Android アプリケーション サンドボックス。アプリデータやコードの実行を他のアプリから分離。 暗号、アクセス権限、セキュアなプロセス間通信（IPC）などの一般的なセキュリティ機能が堅牢に実装されたアプリケーション フレームワーク。 アドレス空間配置のランダム化（ASLR）、no-execute（NX）、ProPolice、safe_iop、OpenBSD の dlmalloc および calloc、Linux の mmap
ブラウザフィンガープリント、その凄さ〜Torブラウザアクセスの識別可能性まで〜
フィンガープリントとはブラウザフィンガープリント技術（以下、FP技術）とは、文字通り、ブラウザの指紋を使ってブラウザをサーバ側で識別する技術です。 ここでの「識別」とは、同一ブラウザからのアクセスを同一ブラウザからのアクセスと判定し、違うブラウザからのアクセスは違うと判断することを言っています（図1）。 図1 フィンガープリントの識別の概念よく誤解される方がおりますが、これはあくまでサーバ側での識別です。（追記：「Torブラウザがどのサイトへ接続しているのか？」を識別するWebサイトフィンガープリントとも違います）また、どこの誰がアクセスしているのかというように、利用者を特定しているわけでもありませんのでご注意ください。 クッキーによる識別をご存知の方には、「クッキーによるセッション管理やトラッキングでの識別と同じです」と説明した方が分かりやすいでしょうか。FP技術自体は、クッキーの代替技
一意の識別子に関するベスト プラクティス | Android デベロッパー | Android Developers
一意の識別子に関するベスト プラクティス コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 このドキュメントでは、ユースケースに応じて適切なアプリ ID を選択する方法について説明します。 Android のパーミッションの概要については、パーミッションの概要をご覧ください。Android のパーミッションに関するベスト プラクティスについては、アプリ パーミッションに関するベスト プラクティスをご覧ください。 Android の識別子の使用に関するベスト プラクティス 各種の Android ID を使用する際は、次のベスト プラクティスに沿って行ってください。 ハードウェア ID を使用しない。ほとんどのユースケースにおいて、必要な機能を制限することなく、SSAID（Android ID）などのハードウェア ID を使用しないことを選択できます。 And
AWSアカウントを取得したら速攻でやっておくべき初期設定まとめ - Qiita
AWSアカウントを作成したら最初にやっておきたいことをまとめてみた。 あわせて読みたい 本記事の内容を含めた最新の手順は、下記の書籍にまとまっている。 クラウド破産を回避するAWS実践ガイド AWSアカウント（ルートアカウント）の保護 AWSアカウントが乗っ取られると詰むので、真っ先にセキュリティを強化する。 AWSアカウントへ二段階認証を導入 AWSアカウントでのログインは、AWSアカウント作成時のメールアドレス・パスワードだけでできてしまう。心許ないにもほどがあるので、まずは二段階認証を設定しよう。 IAMのページを開く https://console.aws.amazon.com/iam/home 「ルートアカウントのMFAを有効化」を選択して、「MFAの管理」ボタンをクリック 「仮想MFAデバイス」にチェックが入っていることを確認し、「次のステップ」ボタンをクリック 注意書きを読ん
アクセスキーのコミットを抑止できて安全便利な awslabs/git-secrets - kakakakakku blog
GitHub で awslabs のリポジトリを眺めてたら git-secrets という便利なツール（シェルで実装されてる）を発見した． どんなものかを簡単に説明すると，アクセスキーなどを誤ってコミットすることを Git の hooks を使って未然に防ぐツールで，誤って GitHub に push してしまったために，AWS を不正利用されてしまった，みたいな事故もたまに聞くし，そういうのを防ぐことができる．非常に良かったので，一部のリポジトリに git-secrets を設定した． github.com インストール make install でも良いけど，Mac なら brew が使える． $ brew install git-secrets インストールすると git secrets コマンドが使えるようになった． $ git secrets usage: git secrets
マイクロソフト、Google、GitHub、Red Hatらが「Open Source Security Foundation」（OpenSSF）を結成。オープンソースのセキュリティ改善へ
マイクロソフト、Google、GitHub、Red Hatらが「Open Source Security Foundation」（OpenSSF）を結成。オープンソースのセキュリティ改善へ いまやオープンソースソフトウェアは社会的に重要な基盤として欠かせないものになっています。 それはクラウドの構築に使われるソフトウェアの多くがオープンソースであり、さらにその上で実行されるミドルウェアやアプリケーションの多くにもオープンソースが使われていることからも分かるとおりです。 このように非常に重要なものとなったオープンソースソフトウェアのセキュリティを継続的に改善していくための団体として、マイクロソフト、Google、GitHub、IBM、Red Hat、VMwareなどをはじめとする企業が、Linux Foundation傘下の団体として「Open Source Security Foundat
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://www.meti.go.jp/policy/netsecurity/downloadfiles/tebiki.pdf
X.1060説明資料 原本的な
「パスワードは12文字以上でより強固に」、不正ログイン防ぐための設定・管理方法をJPCERT/CCが解説 
