Dockerコンテナを本番環境で使うためのセキュリティ設定 - Qiita
はじめに Dockerを開発環境で使うことが多くなってきてますね。 使い捨てできる環境は本当に便利なので、本番環境にも使いたいなーと思って、本番運用で注意すべきセキュリティ周りを調べてみました。 基本的な考え方 基本的な考え方は以下になります。 コンテナ内部に入られるな 権限は最小限にせよ 監視を怠るな DockerといえどVPSやオンプレのセキュリティ設定と考え方は同じですね。 ここではDockerにまつわる話を書いていきます。 コンテナ内部に入られるな 信頼できるイメージを使う 多くの場合、ベースとなるピュアなOSイメージはDockerHub上のイメージを使いますが、元となるイメージがセキュアであるかどうかを確認して使うようにしましょう。 既知の脆弱性を含んでいる場合や、最悪の場合、悪意のあるスクリプトが仕込まれている場合があります。 既知の脆弱性が含まれているかどうかはDocker
「これだけ」はやっておこう──「WordPress実行環境とアプリ開発環境」のセキュリティ対策マニュアル
「これだけ」はやっておこう──「WordPress実行環境とアプリ開発環境」のセキュリティ対策マニュアル：とにかく速いWordPress（19）（1/3 ページ） エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回は、「WordPress実行環境としてのサーバのセキュリティ対策」と「開発者がWordPressアプリケーションを開発する際に実施すべき対策」のポイントを解説します。 連載バックナンバー 前回は、WordPress管理者に向けたセキュリティ対策の基礎編として、「WordPress自体の対策」のためのノウハウを解説しました。今回はさらに具体的な「実践編」として、WordPressを動作させる「実行環境としてのサーバのセキュリティ対策」と「開発者がWordPressアプリケーションを開発する際に留意すべきポイント」を解説
脆弱性を攻撃してみよう (1) OSコマンドインジェクション (OGNL式インジェクション) - Qiita
はじめに 脆弱性を理解するには、実際に脆弱性を攻撃してみるのが一番です。 といっても、脆弱性のありそうなサイトを見つけて攻撃してみよう！と言っているわけではありません。自分だけが使っている仮想マシンの上で、脆弱性のあるアプリケーションを動かし、攻撃してみることをお勧めします。 脆弱性は、以前紹介したバグだらけのWebアプリケーションにたくさん実装してあります。Webアプリケーションはここからダウンロードして、次のコマンドで起動します。 ※実行するにはJavaが必要です。詳細については、こちらのページを参照して下さい。 このWebアプリケーションは、現時点で以下の脆弱性を実装しています。 XSS (クロスサイトスクリプティング) SQLインジェクション LDAPインジェクション コードインジェクション OSコマンドインジェクション メールヘッダーインジェクション Nullバイトインジェクショ
サイバー攻撃対策 大手電機メーカー各社が新技術を開発 | NHKニュース
今月、世界各地で広がったサイバー攻撃で企業の被害が相次ぐ中、大手電機メーカー各社は、ウイルスの感染を素早く検知して広がりを防ぐなど、新しい技術の開発を進めています。 パソコンがウイルスに感染した場合、現在は社員が申告することで企業は被害を把握していますが、新しい技術では、パソコン１台１台が自動で感染を検知します。 これによって全体の被害状況がわかることから、企業は、対策を速やかに取ることができるようになるとしています。 富士通の國分明彦さんは「ウイルスの感染を水際で完全に防ぐことは不可能で、感染を拡大させないことが重要だ」と話していました。 一方、三菱電機は、工場の生産設備や発電所などのインフラ施設を狙ったサイバー攻撃をリアルタイムに検知する技術を開発しました。 従来の技術では、サイバー攻撃を検知するには過去の攻撃パターンと照合する必要がありましたが、この技術は、正しい通信データとサイバー
脆弱なWAF達で遊んでみた - とある診断員の備忘録
最近、二つの脆弱なWAFが公開されました！ Vurp - Vulnerable Reverse Proxy: https://github.com/hasegawayosuke/vurp ViddlerProxy: https://int21h.jp/tools/ViddlerProxy/ 今回は巷（ごく一部かな？ｗ）で話題のこの脆弱なWAF達で遊んでみたら非常に面白かったので、このブログでちょっとご紹介したいと思います。 脆弱なWAFとは？ そもそも、「脆弱なWAF」とは一体なんなのでしょうか？一般的なWAF（Web Application Firewall）は、Webサイトの脆弱性を悪用した攻撃から、Webサイトを保護するためのセキュリティ対策の一つです。 通常は守りたいWebサイトの通信経路上の前面に配置するような構成をとります。例えＷｅｂサイトに脆弱性が存在したとしても、前面のWA
Apache Struts 2における脆弱性 (S2-045、CVE-2017-5638)の被害拡大について | LAC WATCH
Apache Struts 2における脆弱性 (S2-045、CVE-2017-5638)の被害拡大について JSOC サイバー攻撃 脆弱性 3月6日（日本時間）に公開されたApache Struts 2における任意のコードが実行可能な脆弱性を悪用した攻撃が大規模に行われており、JSOCでも実害を伴う重要インシデント事例が複数のお客様の環境で継続して発生していることから、より一層緊急度を上げた対応の呼び掛けを行います。 JSOCアナリストチームの山坂・品川です。 既にIPAなどから広く注意喚起が呼びかけられているところでありますが、3月6日（日本時間）にApache Struts 2 の新たな脆弱性(S2-045、CVE-2017-5638)が発表されました。今回は、本脆弱性を悪用した攻撃の発生状況などについての情報を本ブログにてお知らせいたします。 JSOCでは3月7日頃より、この脆弱性
サイトの「HTTPS化」が世界的に進んで大きなターニングポイントを迎える
By Sean MacEntee 通信の内容を暗号化することでセキュアなインターネット通信を実現するHTTPSへの対応が全世界的に進められています。セキュリティ関連の専門家であるトロイ・ハント氏はこの状況について、変化の動きが急激に大きくなるティッピングポイントに達したと指摘しています。 Troy Hunt: HTTPS adoption has reached the tipping point https://www.troyhunt.com/https-adoption-has-reached-the-tipping-point/ ハント氏はまず、2016年10月にネットのトラフィックをモニタリングしているMozilla Telemetryにおいて、HTTPS経由で送信されたページリクエストが全体の50%を超えたことを挙げて潮目の変化を示しています。 Yesterday, for t
OpenSSL脆弱性対応手順まとめ - infragirl’s blog
2016 - 11 - 20 OpenSSL脆弱性対応手順まとめ おはこんばんにちは。 OpenSSLさんがまた 脆弱性 ですって(´・ε・｀）？ JVNVU#92930223: OpenSSL に複数の脆弱性 私の中ではBINDさんの次に多い印象があります。 BINDの 脆弱性 対応手順をまとめたのにならって、今回はOpenSSLバージョンをまとめてみますね。 infragirl.hatenablog.jp １．OpenSSLの 脆弱性 の発表をキャッチする 本家が情報をわかりやすく出してくれてるようです。 脆弱性 がアナウンスされた時 https://twitter.com/ha4gu/status/750102197174607872 の一次ソース「Security Advisory」はここですね。 ここの RSS が見つけられない…。 https://www.openssl.org
OAuth 2.0 Hack Exposes 1 Billion Mobile Apps to Account Hijacking
Mobile app developers need to be aware of improper OAuth 2.0 implementations that have put one billion mobile apps at risk to takeover. Third-party applications that allow single sign-on via Facebook and Google and support the OAuth 2.0 protocol, are exposed to account hijacking. Three Chinese University of Hong Kong researchers presented at Black Hat EU last week a paper called “Signing into One
interview:徳丸先生に聞く、WordPressとセキュリティの気になる事情 | WordCamp Tokyo 2016
徳丸浩さんといえば、通称「徳丸本」こと『体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践』でご存知の方も多い通り、Webアプリケーションのセキュリティ専門家としてよく知られています。 今回はWordCamp Toyko 2016にご登壇いただく徳丸さんに、セッションの内容や最近のセキュリティ事情などについてうかがって来ました。当日の目玉セッションの一つである「CMS四天王への攻撃デモを通じて、WordPressの効果的な防御法を学ぼう」を楽しみにされている方は、ぜひご覧ください。参加登録がまだの方はこちら！ 場所 HASHコンサルティング 聞き手 高橋文樹（WordCamp Tokyo 2016 実行委員長） ——本日はお時間いただき、ありがとうございました。まずは、ふだん徳丸さん自身が代表を務めるHASHコンサルティングでのお仕事についてお聞かせくださ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.whatthefuckisethereum.com/
「Apache HTTP Web Server」の複数モジュールにDoSなど5件の脆弱性 2.4系はアップデート、2.2系はパッチ適用を推奨
お宅に悪用されそうな不具合や設定ミスはありませんか？ 無料の「Nessus Home」で自宅デバイスの脆弱性をスキャン【イニシャルB】
Radio Hack Steals Keystrokes from Millions of Wireless Keyboards