インシデント発生時には「引き継ぎ力」が試される
「守る」技術を競い、培うことを目的にWeb Application Security Forum（WASForum）が主催してきた「Hardening Project」。淡路夢舞台国際会議場（兵庫県、2017年11月23～25日）で開催された最新の取り組みである「Hardening 2017 Fes」では、個人の技術力に加えて「引き継ぎ力」が試された。 Hardening競技は、運営側が用意したさまざまなセキュリティインシデントから手元のサーバとサービスをチームで守り、ビジネスを継続させるスキルを競うものだ。 Hardening競技に参加するのは、事前の割り振りに従って編成された6人前後の16チーム。1日目の競技「Hardening Day」と、翌日の振り返り「Softening Day」などに取り組む。 各チームはECサイトを運営する企業の社員という設定で、複数のサーバ群を運用し、ミドル
企業のインシデント対応訓練を行うボードゲーム形式の教材を無償提供 | トレンドマイクロ
トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長 兼 CEO：エバ・チェン 東証一部：4704、以下、トレンドマイクロ）は、企業においてセキュリティインシデント発生時に対応を必要とするメンバーを対象にボードゲーム形式でインシデント対応の訓練を行う教材「インシデント対応ボードゲーム」の無償提供を開始します。インシデント対応の模擬体験を通して、自社の抱えるセキュリティ上の課題、インシデント対応における課題を洗い出すことが可能になります。本ボードゲームは以下の当社サイトよりダウンロード可能です。 標的型サイバー攻撃をはじめ、近年企業が直面するセキュリティ脅威はますます巧妙化し、インシデント対応チームCSIRT（Computer Security Incident Response Team）を設置する企業が増えています。その一方で、インシデント対応のための人的リソースや専門知識の不足
まんがで学ぼう「セキュリティ入門」
メディア関係者向けお問い合わせ先 メールでのお問い合わせ: pr-jp@google.com メディア関係者以外からのお問い合わせにはお答えいたしかねます。 その他すべてのお問い合わせにつきましては、ヘルプセンターをご覧ください。
事件後の対応と杜撰なデータ管理の実態 - THE ZERO/ONE
「Uber」からベンチャー企業のセキュリティを考える (1) 事件後の対応と杜撰なデータ管理の実態 米国サンフランシスコ発の配車サービス「Uber（ウーバー）」は、乗客がスマートフォンの専用アプリを利用して、近くにいる車を気軽に呼び、タクシーのように利用できることで爆発的な人気を得たサービスだ。海外には流しのタクシーの数が充分ではない地域が多いこともあって、国際的な人気を集めたUberは、創業5年にして55ヵ国まで営業の手を広げている。 日本でも東京と福岡でサービスが段階的に始まっているが、人気の一方でトラブルも少なくない。2月には、Uberが福岡市で行ったライドシェア（相乗り）の実験に対し、国土交通省が「道路運送法に抵触する可能性がある」として中止命令を出したばかりだ。今後の日本での展開について考えるためにも、まずは現在のUberをめぐる世界的な状況に関し、数回に渡ってお伝えしようと思う
ハッキングコンペ2日目、全主要ブラウザが破られる
ハッキングコンペ「Pwn2Own 2015」2日目は挑戦者が全主要ブラウザのハッキングに成功。Firefoxは同大会で報告された脆弱性を修正するセキュリティアップデートを公開した。 米Hewlett－Packard（HP）傘下のZero Day Initiativeが主催するハッキングコンペ「Pwn2Own 2015」は2日目の3月19日、挑戦者が全ての主要ブラウザのハッキングに成功し、計24万ドルの賞金を獲得した。 この日はまず、挑戦者の「ilxu1a」がMozilla Firefoxのハッキングに成功。続いて登場したJungHoon Lee氏は、Microsoft Internet Explorer（IE）11とGoogle Chrome、Apple Safariを次々に破って見せた。 初日と合わせた2日間で授与された賞金は総額は55万7500ドル。脆弱性はWindowsに5件、IE
フェイスブックが匿名化通信に対応、Tor専用URLを公開
フェイスブックが匿名化通信に対応、Tor専用URLを公開2014.11.05 13:009,470 福田ミホ 実名、だけど匿名。 プライバシーダダ漏れなどと批判されることも多いフェイスブック。でも、その彼らがセキュリティや匿名性の保護の観点では画期的な動きを見せました。フェイスブックは匿名化ネットワーク、Tor専用のリンクを作って公開したんです。従来のURLをTor経由で見るとハッカー認定されてしまうこともあったのですが、Tor用URLならそれがなくなります。フェイスブックの利用は実名ですが、Torを使うことで、ユーザはアクセス元のIPアドレスや所在地をフェイスブックのサーバに知らせずに済むため、ある意味匿名性を保てるのです。 まず、公開されたTor用フェイスブックのアドレスはこちら（https://facebookcorewwwi.onion/）です。Torユーザで、かつフェイスブックも
現金引き出しを可能にするATM感染マルウェアが見つかる
銀行のATMに感染して攻撃者による現金の引き出しを可能にしてしまうマルウェアが見つかったとして、ロシアのセキュリティ企業Kaspersky Labが10月7日のブログで報告した。 それによると、Kasperskyは金融機関からの要請を受けてATMに対するサイバー攻撃について調べる過程で、東欧の金融機関が運営する50台以上のATMがマルウェアに感染しているのを発見した。 このマルウェアは「Backdoor.MSIL.Tyupkin」と呼ばれ、Microsoftの32ビット版Windowsを搭載した大手ATMメーカー製のATMに感染する。VirusTotalの情報から判断すると、東欧以外にも米国、インド、中国など複数の国で出回っている様子だという。 Tyupkinは検出を免れるため、夜間の特定時間にのみ動作する。攻撃者がATMに物理的にアクセスし、攻撃者のみが知るアルゴリズムを使ってその都度生
総務省の偽サイトに注意
総務省は8月19日、同省のWebサイトを模倣したサイトが確認されたとして注意を呼び掛けた。「アクセスすると、コンピューターウイルスに感染するなどのおそれがある」という。 同省サイトのURLは「http://www.soumu.go.jp/」であり、「http://www.soumu.go.jp.○○○.org/」など、一見似たURLは模倣サイトとだとして確認を呼び掛けている。 関連記事 かなり目立つ、三菱東京UFJ銀行サイトのセキュリティ注意喚起 不審なメールやウイルスに警告 三菱東京UFJ銀行は、Webサイトのトップページ上でかなり目立つ形でネットバンキングの利用者に対し注意を喚起している。 「Yahoo！検索」の広告に偽サイト、名古屋銀行・WebMoneyも ヤフー「審査強化する」 「Yahoo！検索」の検索連動広告に、名古屋銀行とWebMoneyの偽サイトへのリンクも掲載されていたこ
Ruby on Railsのfind_by_*メソッドにSQLインジェクション脆弱性(CVE-2012-5664) | 徳丸浩の日記
Ruby on Rails(3.2.9, 3.1.8, 3.0.17以前)のfind_by_*メソッドにSQLインジェクション脆弱性が見つかりました(CVE-2012-5664)。このエントリではその概要と対策について説明します。 概要 Ruby on Railsのfind_by_*メソッドの引数としてハッシュを指定することで、任意のSELECT文を実行できる脆弱性があります。 検証 Ruby on Rails3.2.9の環境を用意して、以下の2つのモデルを用意しました。 $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserは個人情報を保持しており、自分自身の情報のみが閲覧できるという想定です。モデルBookは書誌データベースであ
Dropboxがセキュリティ対策として「2段階認証プロセス」をスタート | ライフハッカー・ジャパン
セキュリティに関心のあるユーザーならば、先日、Googleが2段階認証プロセスを開始したことはご存じかもしれません。2段階認証プロセスとは、通常のアカウントとパスワードに加え、お手持ちの携帯端末に送られた認証コードを使用しなければログインできないようにする仕組みです。万が一、アカウントとパスワードが流出しても、不正アクセスされる可能性がグッと減る対策といえるでしょう。 ファイルストレージサービス「Dropbox」も、2段階認証プロセスの採用をはじめました。セキュリティ向上のためにも、設定をしておきましょう。Dropboxの2段階認証プロセスを行うためにはこちらのページへアクセスします（Dropboxにログインしていなければ、パスワード入力画面が表示されます。ログインして、次の手順に進んでください）。 アカウント情報が表示されます。現段階では2段階認証プロセスは無効になっています。「Acco
よりセキュアなWebアプリケーションを目指す、JavaScriptチェックツール·DOM Snitch MOONGIFT
DOM Snitchは危険性のあるJavaScriptの処理を検出してスタックトレースするGoogle機能拡張。 DOM SnitchはGoogle Chrome用のオープンソース・ソフトウェア。先日、旧バージョンのjQueryに潜むセキュリティ問題が取沙汰された。JavaScriptが多用されるようになると、そこにセキュリティホールが潜む可能性がある（先日まで当サイトにも存在していた）。 DOM Snitchの画面 JavaScriptが出力したコンテンツなのか否か、Webブラウザを単純に使っている限りでは分かりづらい。ブラウジングを通じて問題があるかも知れない処理を発見できるのがDOM Snitchだ。Google製のGoogle Chrome機能拡張だ。 DOM SnitchはGoogle Chromeの機能拡張であり、Webブラウジング中に特定のメソッドを使われていないかどうか監視
あなたのWebアプリケーションは安全か。Google製のセキュリティチェッカー·Skipfish MOONGIFT
SkipfishはSQLインジェクションをはじめWeb向けの脆弱性を発見するソフトウェア。 SkipfishはGoogle製のオープンソース・ソフトウェア。2011年になってセキュリティインシデント関係の話題が飛び交っている。特に大きいのはソニーだろう。あそこまでの規模は相当珍しいが、何も対岸の火事という訳ではない。 オプション セキュリティホールを狙うのは人間に限らない。日々クローラーがWebサイトにアクセスしてセキュリティホールを狙っているのだ。狙われる前にSkipfishを使って自主的にチェックしてみよう。 SkipfishはGoogleが開発したセキュリティチェックソフトウェアだ。ターミナルで動作するソフトウェアで、指定したURLに対してSQLインジェクションやXSSなどWebアプリケーションが狙われやすい脆弱性をついてくる。結果はHTMLベースのレポートとして出力される。 結果は
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ人材をどう育成するか、日本シーサート協議会が採用担当者向けセミナー開催 
Engadget | Technology News & Reviews