世界トップクラスの専門家による情報セキュリティ国際会議「CODE BLUE（コードブルー）」
CODE BLUEとは、世界トップクラスの情報セキュリティ専門家による最先端の講演と、国や言語の垣根を越えた情報交換・交流の機会を提供する国際会議です。 欧米の著名な研究者を招へいし、最新の成果を共有するとともに、日本をはじめとするアジア各国の優れた研究者を発掘し、その研究成果を世界へと発信していきます。 医療の世界で使われるCODE BLUEという言葉は、「緊急事態発生」や「関係者招集」を意味します。 インターネットの世界においても、IoT（Internet of Things）の時代を迎えるなど、セキュリティ対策の重要性が高まっており、世界各国の研究者を招集し、事態への対処や解決策を共に考える場が必要とされています。 CODE BLUEは国際的なコミュティ形成の場となることを目的にするとともに、CODE（技術）によってBLUE（海）を超えて人と人をつなぎ、よりよいインターネットの世界作
LastPassでさえも盗まれうる – LastPassのセキュリティを探る | POSTD
私は Alberto Garcia と一緒に、アムステルダムで開かれたBlackhatで “Even the LastPass Will be Stolen, Deal with It!（LastPassでさえも盗まれるうのです。それでも我慢しましょう）″ という調査を口頭発表してきました。その会議は大成功で、聴衆から素晴らしいフィードバックを得ることができました。たくさんの人からビデオやスライドなどの資料が欲しいと言われたので、講演の詳細を記した記事を書くことは価値があると考えました。 動機 Albertoのチームの1つがペネトレーションテストをした時、彼は複数のコンピュータへのアクセスに成功し、その全てがLastPassを参照するファイルを持っていることを発見しました。彼は私のところへ来て、LastPassの仕組みをチェックし、もし可能ならLastPassの認証情報を盗んでみたら面白い
アクセンチュア、機密情報を危険なサーバに放置--秘密鍵やパスワードが外部に
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Accentureが大量の機密データを4台の安全ではないサーバ上にうっかり置いていたことを認めた。機密性の高いパスワードや秘密鍵を外部にさらしてしまったため、自社と顧客に大きな打撃を与えかねない事態だった。 4台のサーバはAmazon Web Services（AWS）のストレージサービス「Amazon S3」でホスティングしており、数百Gバイトものエンタープライズクラウド製品のデータを格納していた。Accentureのクラウド製品はFortune Globalの上位100社に含まれる多数の企業が利用しているという。 サーバのWebアドレスさえ分かっていれば、パスワードなしでデータをダウンロードできる状態だったという。 データを発見した
Spotify と Google が共同開発 : オープンソースの GCP セキュリティ ツール Forseti Security | Google Cloud 公式ブログ
Spotify と Google が共同開発 : オープンソースの GCP セキュリティ ツール Forseti Security クラウド リソースのセキュリティを大規模に保護することは Google Cloud Platform（GCP）のユーザーにとって極めて重要ですが、GCP リソースのセキュリティを確保するためには適切なツールとプロセスが必要となります。 Spotify と Google Cloud は、GCP プロジェクトの保護を目的とした画期的なセキュリティ ツールを共同で開発し、Forseti Security としてオープンソース コミュニティに送り出しました。Forseti Security はすべての GCP のお客様が利用できます。 この投稿は、GCP セキュリティ コミュニティ向けのツールを共同開発した経緯について Spotify のチームに話を聞き、それをまとめ
不正アクセスによる情報流出の可能性に関するお知らせとお詫び（第一報）
＞第二報についてはこちらをご確認ください ＞最終報についてはこちらをご確認ください 謹啓 貴社益々のご盛隆のこととお慶び申し上げます。平素は格別のお引きたてを賜り厚くお礼を申し上げます。 このたび、弊社の保持する検証サーバー（保守契約管理システムの検証サーバー、以下 当該サーバー）に対する不正アクセスが確認されました。当該サーバーには、保守契約管理システムの移行作業で利用する取引先情報が格納されたファイルが存在し、不正アクセスを行った第三者（以下、攻撃者）に情報が流出した可能性があることが判明しました。お客様および関係者の皆様に多大なるご心配とご迷惑をおかけいたしますことを、深くお詫び申し上げます。 現在、第三者機関による詳細な調査を行っており、詳細が判明次第、速やかに公表する予定です。弊社および第三者機関において、攻撃者が当該ファイルを持ち出した痕跡を確認する一次調査を行いましたが、情報
監視エージェント「SKYSEA Client View」の脆弱性、Skyの対応に問題はあったのか
数年前から検知されていた政府機関やインフラ事業者へのサイバー攻撃の手段の一つとして、大手ITベンダーのセキュリティ関連ソフトの脆弱性が利用されていたことが、4月11日付けの朝日新聞によって報道された。利用されたのは、セキュリティソフトベンダー、Skyの「SKYSEA Client View」という監視エージェントソフトだ。すでにパッチは配布されているが、この問題によってセキュリティ対策ソフトの脆弱性についての議論が再燃した。 厳密な運用管理が必要な監視エージェント PCやモバイルデバイスといったエンドポイントのセキュリティ対策の一つとして挙げられるのが、監視エージェントソフトをインストールし、会社の監視サーバーが不正な挙動操作を検知するという方法だ。 SIEMやUTMのようなトラフィックやログを監視するのではなく、個々のPCやデバイスの詳細ログを保存したり、管理者がPCなどを直接監視、制御
Drupal Core - Highly Critical - Public Service announcement - PSA-2014-003 | Drupal.org
Now is the time to change the history of diversity and inclusion in open source. At DrupalCon Global from Jul 14-17 our featured speakers are tackling this issue head-on. Advisory ID: DRUPAL-PSA-2014-003 Project: Drupal core Version: 7.x Date: 2014-October-29 Security risk: 25/25 ( Highly Critical) AC:None/A:None/CI:All/II:All/E:Exploit/TD:All Description This Public Service Announcement is a foll
2017年脆弱性を狙った公開サーバへの攻撃が続発 | トレンドマイクロ セキュリティブログ
2016年は「サイバー脅迫元年」の年となり、ランサムウェアが全世界中で猛威を振るいました。国内でも沢山の被害が発生しており、早急にランサムウェア対策を進めてきた企業も少なくないでしょう。しかし、そうした企業の努力とは裏腹に、2017年1月から3月にかけて国内の企業を襲った脅威は、ランサムウェアではなく、公開サーバの脆弱性を狙ったサイバー攻撃でした。 ■公開サーバの脆弱性が狙われたインシデントが続発 2017年1月1日から3月14日までの期間で、公開サーバが攻撃を受けたインシデント事例はすでに40件以上報道されており、そのうち脆弱性が原因と確認されている事例は20件ありました。 これは月約7件の被害が報道されていることになり、潜在的にはさらに多くの企業で同様のインシデントが発生している可能性があります。 ■2月、3月と深刻な脆弱性が立て続けに発覚 こうした脆弱性を狙ったサイバー攻撃の被害が拡
Chrome ExtensionのLive HTTP Headersの調査(CoolBar.Pro導入 Extensionが何を行うかの調査)
a.md Chrome ExtensionのLive HTTP Headersを調査した。Firefox用のものではない。Firefox用のものではない。 https://chrome.google.com/webstore/detail/live-http-headers/iaiioopjkcekapmldfgbebdclcnpgnlo 11/7追記 類似 or 同様の方法で難読化scriptを埋め込んでいる拡張機能が大量にあったため、Googleに報告済み。 https://twitter.com/bulkneets/status/795260268221636608 English version: https://translate.google.com/translate?sl=ja&tl=en&js=y&prev=_t&hl=ja&ie=UTF-8&u=https%3A%2F%
安全なPHPアプリケーションの作り方2016
PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
Endpoint Protection - Symantec Enterprise
寄稿: Roberto Sponchioni 2016 年に入ってから、全世界規模の感染が確認されるまでは、あっと言う間のことでした。新年を迎えてからわずか数日後に、シマンテックの遠隔測定は、侵入防止システム（IPS）のシグネチャ「Web Attack: Mass Injection Website 19」に該当する検出数の大きい突出を記録しました。このシグネチャは、危殆化した Web サイトにインジェクトされた隠しスクリプトを使って、悪質なコードをホストしている Web サイトにユーザーがリダイレクトされたことを検出します。ユーザーが、危殆化した Web サイトへとブラウザで移動すると発動します。 図 1. Web Attack: Mass Injection Website 19 の検出数 悪質な Web サイトへのアクセス試行が確認されたのは、半数近くが米国（47%）で、インド（12
すぐ役立つ！組織で行うべきランサムウェア対策 | トレンドマイクロ セキュリティブログ
企業や組織でセキュリティに従事する現場担当の方々は、日々のインシデント対応や、セキュリティレベルの向上を目指す中で、さまざまな疑問や課題に直面していると思います。本連載「すぐに役立つセキュリティ対策」では、トレンドマイクロのエキスパートたちが、お客様からの調査依頼対応やインシデントハンドリングの中から得たセキュリティ専門家としての知見を、すぐに業務に活かせる形で提供してまいります。今回は今年に入って特に法人での被害が急増している「ランサムウェア」について、組織で行うべき対策について説明します。 ■法人で被害を広げる「ランサムウェア」 「ランサムウェア」とは、感染した PC や PC内のデータを使用不能にし、その復帰と引き換えに「身代金」を要求する不正プログラムです。「身代金要求型不正プログラム」とも呼ばれます。 先日「vvvウイルス」として話題になった不正プログラムも、このランサムウェアの
バグハンターの哀しみ
Mercari JPのモノリスサービスをKubernetesに移行した話 PHP Conference 2022 9/24Shin Ohno
LTEネットワーク、実は盗聴が容易
LTEのネットワークで盗聴のリスクがある――。そう語るのはフィンランドNokia Networks社の技術者だ。2015年10月9日に開催された同社の日本法人ノキアソリューションズ＆ネットワークスが開催したプライベートイベント「Experience Day 2015」で明らかにした。 LTEのネットワークは無線区間は強固な暗号があり、鍵が露呈しない限り復号されない。しかし、eNodeBと呼ばれる基地局の背後の有線ネットワークは暗号化されていない場合があるという。「どこの事業者なのかやどの場所がそうだとは公表できないが、日本国内において移動通信網を構成する機器間の相互認証や通信の暗号化を施していない移動通信事業者があり、危険な状態にある」（技術者）という。 「現在、スモールセル化が進んでおり、ビル内など手に届く場所に低出力の基地局が置かれることがある。有線ネットワークにはEthernetが使
PHPのJSON HashDosに関する注意喚起
4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施したため、PHPにはHashDosに対する攻撃経路がまだ残っているということは、一部の技術者には知られていました。例えば、以下の様なつぶやきにも見ることができます。 だって、 hashdos 脆弱性の時、 Python とかの言語が、外部入力をハッシュに入れるときに衝突を狙えないように対策したのに、phpだけPOST処理で対策したからね？ json を受け取るような口もってるphpアプリのほとんどがhashdos残ってるんじゃない
「SHA-1の廃止前倒しを」 専門家チームが提言
SHA-1がこれまで考えられていたよりも大幅に安いコストで破れることが分かり、犯罪集団に悪用される危険が迫ったと指摘している。 Webサイトでの認証やデジタル署名に使われるハッシュ関数の「SHA-1」について、暗号解読の国際専門家チームが10月8日、廃止の時期を現在のスケジュールよりも前倒しする必要があると勧告した。SHA-1がこれまで考えられていたよりも大幅に安いコストで破れることが分かり、犯罪集団に悪用される危険が迫ったと指摘している。 SHA-1は以前から脆弱性が指摘され、MicrosoftやGoogleなど主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止に向けたスケジュールを公表している。 しかし現在の計画では、SHA-1を使った証明書が主要ブラウザで安全と認識されなくなるのは2017年1月以降。これに対してオランダ、フランス、シンガポールの研究チームは、SHA-1に対する
フレームワークに見る Web セキュリティ対策 - Qiita
セキュキャン 2015 高レイヤートラック(Jxck) 本資料は、セキュキャン 2015 高レイヤートラックの講義資料です。 セキュキャン参加者であるセキュリティエンジニアの卵を対象に、 Web のセキュリティの知見が、実際どのように Web アプリ開発に反映されているか、もしくはどう反映すべきかを、フレームワークの視点から解説することを目的としています。 将来、 Web のセキュリティに興味を持ったエンジニアが、その知見を多くの開発者に啓蒙する手段として、フレームワークに反映するというのは非常に有効な方法です。 ここではその実例として Rails を例にとり、 Rails がこれまでに積み上げてきたセキュリティに関する知見を振り返るとともに、フレームワークとしてそれをどう取り入れているかを解説します。 Intro Web アプリケーションを開発する場合、 Web アプリケーションフレーム
「セシール」に不正アクセス 161万円分の不正注文 個人情報流出の可能性も
ディノス・セシールは7月16日、同社のオンラインショップ「セシール」が不正アクセスを受け、計約161万5000円分の不正受注があったと発表した。配送の差し止めなどで実被害は約55万7000円に抑え、顧客の被害は同社が補てんした。不正ログインにより、「セシール」と「ディノス」合計最大で152人分の個人情報が流出した可能性もあるという。 セシールで13日午後5時過ぎ、4人の顧客名義を利用したカード決済で、同じ届け先に商品をギフト配送するという不審な注文を発見。調査したところ、不正アクセスによる不正受注と判明した。 ほかにも不審な注文がないか確認したところ、15日夕方までに合わせて10件の不正受注を発見。被害額は10件合計で約161万5000円に上ったが、配送の差し止めなどを行い、実被害は3件・約55万7000円に抑えた。不正受注被害にあったユーザー10人を含む14人のメールアドレスが改ざんされ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Stored XSS in WordPress Core