自社のDB破壊しCEOに身代金要求、freeeが本当にやったクラウド障害訓練の舞台裏 「従業員はトラウマに」
自社のクラウド環境に侵入され、データベースから経営に欠かせないデータを持ち出される。バックアップも消され、データを取り戻したければ、身代金を支払うよう要求される──企業にとって絶対に直面したくない事態の一つだ。しかしこのシチュエーションをあえて再現し、訓練という形で自社のCEOに身代金まで要求した企業がある。クラウド会計サービスを提供するfreeeだ。 freeeは2021年10月、標的型攻撃とランサムウェアを組み合わせたシナリオを基に全社的な訓練を実施。AWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求したという。訓練を主導したのは、製品やサービスのセキュリティ向上を目指す社内組織「PSIRT」だ。 訓練を実施した背景には、情報システム部などのIT部門だけでなく、経営層まで巻き込みたい考えがあったという。同社のPSIRTが取り組んだ
Browser In The Browser (BITB) Attack | mr.d0x
This article explores a phishing technique that simulates a browser window within the browser to spoof a legitimate domain. Introduction For security professionals, the URL is usually the most trusted aspect of a domain. Yes there’s attacks like IDN Homograph and DNS Hijacking that may degrade the reliability of URLs but not to an extent that makes URLs unreliable. All of this eventually lead me t
あの「Zoom」がやらかした？ 急浮上した盗聴疑惑の真相：652nd Lap
このニューノーマル時代において、Web会議ツールでリモート会議をする光景はもはや珍しいものではなくなった。 リモート会議のニーズの高まりを受けて利用が進んだWeb会議ツールの一つに「Zoom Meetings」がある。今ではデファクトスタンダードとなったZoomだが、なんと盗聴疑惑が持ち上がった。なぜそのような疑惑が浮上したのか？ このZoomの問題はZoomの公式フォーラムで報告された。最初の報告は2021年12月18日のことで、当初はそれほど話題にはなっていなかった。 しかし、他のユーザーからも同様の報告が挙げられるにつれて徐々に話題になっていった。その問題とは、Zoomがユーザーの音声を勝手に録音しているのではといった内容だ。 この件について公式フォーラムに投稿したのがaaronkleinさんだ。投稿の件名は「Why is the Zoom app listening on my m
ポッドキャスト番組「セキュリティのアレ」が2021年度 総務大臣奨励賞を受賞──運営者のひとり、IIJ 根岸にインタビュー | IIJ Engineers Blog
こんにちは、IIJ Engineers blog 編集部です。 今回は、2021年度「サイバーセキュリティに関する総務大臣奨励賞（以下、総務大臣奨励賞）」を受賞したポッドキャスト番組「セキュリティのアレ」の運営者のひとりであるIIJの根岸に今回の受賞について話を聞いてきました。 「総務大臣奨励賞」＆「セキュリティのアレ」ってなに？ 受賞の話を聞く前に、まずは今回の受賞概要を簡単に紹介します。 サイバーセキュリティに関する総務大臣奨励賞とは？ 総務省が、サイバーセキュリティ対応の現場において優れた功績を挙げている個人・団体を表彰するもので、2017年に創設。 自薦または他薦で候補者を募集し、有識者で構成される選考委員会の審査結果を踏まえ受賞者が決定され、毎年、サイバーセキュリティ月間の期間中に表彰が行われます。 ポッドキャスト番組の「セキュリティのアレ」 SBテクノロジー株式会社の辻伸弘氏、
送られたUSBメモリー、巧みなワナ 挿すだけで感染 - 日本経済新聞
米連邦捜査局（FBI）は1月上旬、重要インフラ事業者などに対して、USBメモリーなどのUSBデバイスを使ったサイバー攻撃が確認されているとして注意を呼びかけた。攻撃者は、米保健福祉省（HHS）や米アマゾン・ドット・コムなどを装って、細工を施したUSBデバイスを企業や組織に郵送している。2021年8月には運輸および保険業界の企業、11月には防衛産業企業に送られてきた。受け取った人がそのUSBデ
SafariでGoogleアカウント名が漏えいする脆弱性が見つかる、Appleに問題を報告済みも未対応のまま
フィンガープリントやオンライン詐欺を特定するためのAPIを提供するFingerprintJSが、Apple純正ブラウザのSafariにはGoogleアカウント情報が任意のウェブサイトに漏えいする脆弱性が存在すると指摘しています。 Exploiting IndexedDB API information leaks in Safari 15 https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/ Safari 15 bug can leak your recent browsing activity and personal identifiers - The Verge https://www.theverge.com/2022/1/16/22886809/safari-15-bug-lea
Node.js コアモジュールの import/require には `node` schemeがつけられる - from scratch
Node.js アドベントカレンダーの 3 日目の記事です。空きを埋める形で始めました。 qiita.com www.codegrid.net CodeGrid でも書かせていただきましたが、 Node.js で ES Module / CommonJS を使ってコアライブラリのロードをする際、 node から始まる scheme を付けることが可能になっています。 nodejs.org // ESM import fs from "node:fs/promises"; // CJS const http = require("node:http"); これにはいくつかのメリットがあります。基本的につけておくことが望ましいです。 今回はメリットをいくつか紹介します。まだこれがデファクト・スタンダードになっている訳ではありませんが、これから付けてもらうように推奨していきたいと思います。 メリ
本番環境でやらかしちゃったかもしれない話 2021-12-22 - Qiita
本番環境でやらかしちゃった人 Advent Calendar 2021 22日目。 log4jの脆弱性CVE-2021-44228を狙った攻撃が多発していますね。 ご存知の方も多いと思いますが、私のサーバにもこの日(12/10)から多くの攻撃者が訪れています。 FortiGuard Labs Weekly Threat Briefsでは、毎週どんな攻撃が流行っていたのか、週ごとにまとめて紹介しています。12/17掲載記事 Log4j.Error.Log.Remote.Code.Execution が初登場で 検出数で1位を獲得しました。ThinkPHPやPHPUnitなど、昨年春からTOP5に鎮座していた競合からトップを奪取しました。すごいことです。 今回は、なんとlog4jさんのノック攻撃に返信してしまい、さらなる攻撃（第二波、第三波...）を受けるという失態を犯してしまいました。 皆さ
迷惑メールの歩き方 | IIJ Engineers Blog
セキュリティ本部セキュリティビジネス推進部セキュリティオペレーションセンターに所属。2019年新卒入社。大学生時代より情報セキュリティにまつわる研究・開発をしている。インターネットが好き。 【IIJ 2021 TECHアドベントカレンダー 12/20（月）の記事です】 こんにちは。naotです。 普段はIIJのセキュリティオペレーションセンター（SOC）で、ログ分析ルールの管理やスレットハンティングのお仕事をしています。 1年目から小ネタでエンジニアブログのアドベントカレンダーを書かせていただいていて、もう3年目です。 私の一番長く続いている趣味は迷惑メール観賞です。 だいたい小学生時代から受け取りたいメールとそうでないメールの分類や、怪しいメールの観賞をしていました。 怪しいメールは集めるとその中に関連性やストーリーを見いだせることがあり、鑑賞だけでなく収集にも興味を持つようになった結果
HTTP/2を利用する際はCipher Suiteを正しく設定しよう | IIJ Engineers Blog
2018年新卒入社。名古屋支社にてSI中心にお仕事をするエンジニア。仕事ではサーバやミドルウェアを、趣味ではウェブやアプリを弄っています。 【IIJ 2021 TECHアドベントカレンダー 12/9（木）の記事です】 はじめに 名古屋支社の kmmt-t です。 最近のモダンなWebサイトでは、「HTTP/2」を利用するサイトが増えてきました。 このようなWebサイトを公開する際に、Webサーバ側の設定次第によってはモダンブラウザ（EdgeやChrome）でページを開けない場合があります。 具体的にはTLS1.2とHTTP/2を組み合わせたWebサイトにおいて、特定のCipher Suiteを指定している場合にブラウザが ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY 等のエラーを出してページをブロックするような現象が発生します。 特に、利用者側がインターネ
SharedArrayBuffer と過渡期な cross-origin isolation の話
2021/12/26: Safari も 15.2 から COOP/COEP を使って SharedArrayBuffer が利用できるようになったので、該当箇所の表記を変更しました。 長い記事なので先に結論を書きます。 Chrome、Firefox および Safari で SharedArrayBuffer や高精細タイマーが使えるようになりました。そのためには cross-origin isolation という状態を有効にするのですが、親となる HTML ドキュメントに下記 2 つのヘッダーを送ります。 Cross-Origin-Embedder-Policy: require-corp Cross-Origin-Opener-Policy: same-origin ただ、これを有効にするには様々な条件と制約が存在し、現段階では多くのサイトは苦戦するでしょう。とりあえず従来通り C
OktaをIdPとしてAzure ADとのフェデレーションを構成する
2023.02.07 追記 本記事の内容はOkta Classic Engine環境を前提として書かれています。 Okta Identity Engine環境を対象としたAzure ADとのフェデレーションについてはこちらのクラウドネイティブさんの記事がおすすめです↓ Okta Identity EngineでのAzure ADとのフェデレーション設定はこれがおすすめだよ！ – CloudNative Inc. BLOGs はじめに OktaをIdPとしてAzure AD(Microsoft 365)とフェデレーションを構成する際、Okta公式のドキュメント通りだとうまくいかない部分があったり書いてないことがあったのでそのメモです。 途中でハマったポイントについても書いています。 なおOktaのドキュメントやアプリケーションテンプレート上だとOffice 365と表記されている（恐らくエン
GitHub - kanidm/kanidm: Kanidm: A simple, secure and fast identity management platform
Kanidm is a simple and secure identity management platform, allowing other applications and services to offload the challenge of authenticating and storing identities to Kanidm. The goal of this project is to be a complete identity provider, covering the broadest possible set of requirements and integrations. You should not need any other components (like Keycloak) when you use Kanidm - we already
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Introducing Enhanced Security for Microsoft Edge
Log4j 2はオープンソースソフトウェアなんだから「問題を見つけたらあなたが直せ」？
GitHub - fuzzuf/fuzzuf: Fuzzing Unification Framework
大企業の過半、サイバー攻撃防げず アクセンチュア調べ - 日本経済新聞
GitHub - greymd/CVE-2021-44228: Vulnerability CVE-2021-44228 checker
GitHub - helmetjs/helmet: Help secure Express apps with various HTTP headers
Trojan Source Attacks