高負荷サイトのボトルネックを見つけるには : DSAS開発者の部屋
はじめに アクセスが急増すると、応答時間が著しく悪化するサイトはありませんか？ 普段は200ミリ秒以内で安定してアクセスをさばいているのに、イベントやらキャンペーンやらを開始した瞬間から、普段の２倍や３倍のアクセスが殺到し、その結果、レスポンスタイムが3秒とか9秒とかかかるようになってしまうことってありますよね。 あるサイトの実状 つい先日まで、そんなサイトが私の目の前にもありました。自社で運営している某ソーシャル系のサイトなんですが、イベント開始時刻と同時にアクセス数が急増するのです。とはいえ、所詮は普段の2倍とか3倍程度の数なのだから、少なくとも1秒以内にレスポンスを返せるくらいの性能は維持したいものです。 しかし実際は困ったことに、応答に3秒以上もかかってしまう処理が大量に発生してしまう状況に陥ってしまっていました。これはきっと、どこかにボトルネックがあるに違いありません。 仮説を立
ログからは見えてこない高負荷サイトのボトルネック : DSAS開発者の部屋
ちょうど１年前に「高負荷サイトのボトルネックを見つけるには」という記事を掲載していますが、この手のトラブルシューティングって結構大変で悩ましいですよね。はじめまして、新入りの@pandax381です。 ログからは見えてこないもの 「サイトの応答が遅い」という問題が発生した場合、その原因はどこにあるでしょうか。 Webアプリケーションの処理に時間が掛かっている DBサーバに投げたクエリーの応答が遅い サーバの処理能力を超えている などなど、いくつもの可能性があります。通常、上に挙げているような問題は、アプリケーションやサーバのログを調査することで、原因を突き止めることができます。 一方で、こういったログの調査だけでは、その原因にたどり着くことができなかったり、相当な苦労が伴うケースもあります。 あるサイトのある日の出来事 つい先日のことですが、KLabの運営している某ソーシャルゲームにて、サ
「サイバーレスキュー隊（J-CRAT）技術レポート2017」を公開：IPA 独立行政法人 情報処理推進機構
IPAは技術レポート「サイバーレスキュー隊（J-CRAT）技術レポート2017 インシデント発生時の初動調査の手引き ～WindowsOS標準ツールで感染を見つける～」を公開しました。 不審なメールの添付ファイルを開いてしまったと報告や相談を受けたら、システム管理者のあなたはどうしますか？ そのインシデントが標的型攻撃だった場合、ウイルス対策ソフトで検知しにくいこともあり、感染しているのかどうかも不明で、なかなか次のアクションを選択することが難しいものです。その間にも、標的型攻撃は着々と組織システムを蝕んでいきます。このようなインシデント検知時に、「PCでいくつかの調査」をおこない、その結果から、標的型攻撃で使われるマルウェアの感染嫌疑を「不審点があるかどうかを評価」することで「アタリ」をつける手法を紹介します。 今回の技術レポートでは、J-CRATのレスキュー活動で実際におこなっている初
第25回 セキュリティ対策の必要性を経営層に分かってもらうには？
第25回 セキュリティ対策の必要性を経営層に分かってもらうには？：変わるWindows、変わる情シス（2/2 ページ） 攻撃者視点で脅威の全体像を捉える「サイバーキルチェーン」 以下に挙げるのは、サイバーキルチェーンの一例ですが、攻撃者はまず内部の状態を偵察し、だまされやすいメールを考えてから配信を行います。その後、URLがクリックされるなどして、実行ファイルが起動されると、サーバに接続して遠隔操作を行うという流れです。 現在利用しているセキュリティ製品をこのフレームワークに照らし合わせることで「どの領域が甘いのか」「どこに投資を行うか」の判断をする助けになります。製品の過剰投資なども減らせるでしょう。また、攻撃されているいずれかの段階で脅威を断ち切るという多層防御の考え方を理解、設計するのにも役立ちます。 できるだけ、上位階層の対策で防御できることが望ましいものの、上位階層で防げないケー
図解でわかるSpectreとMeltdown
A brief explanation of spectre(variant 1) and Meltdown(variant 3)
僕が調べたApacheバージョン判定の小ネタ - とある診断員の備忘録
皆さんこちらのブログをご覧になられましたでしょうか？ Apache HTTP Serverのバージョンを当てる方法 | MBSD Blog Apache HTTP Serverのバージョンが秘匿されていたとしても、脆弱性の修正や、仕様変更による応答差分を確認することによって、バージョンを特定することができるよというMBSDさんの記事です。 この記事には私も知らなかったテクニックも載っていて非常に勉強になりました！ 実際の脆弱性診断の現場でもこのようなテクニックは結構使われていまして、Apache HTTP Serverであればかなり古いですが他にも以下の二つの脆弱性なども脆弱性が修正されているかどうかによる応答差分で、バージョンの判定が可能だったかなーと記憶しています。 CVE-2006-3918 JVNDB-2006-000441 - JVN iPedia - 脆弱性対策情報データベース
診断文字列を打ち込まずにPHPのバージョンを推測する
脆弱性診断においてApacheのバージョンを外部から調べる方法を複数の専門家がブログ記事に書いておられます。 Apache HTTP Serverのバージョンを当てる方法 僕が調べたApacheバージョン判定の小ネタ いずれも大変興味深いものですが、ApacheでできるのであればPHPはどうだろうかと気になる方も多いと思います。これは人間の自然な感情だと思うのです。 このあたり、各診断会社の「秘伝のタレ」みたいなところもあるのでしょうが、私からも少し知見を披露したいと思います。 タイトルにも書いたように、診断文字列を打ち込まずに、言い換えれば、通常のウェブ閲覧の範囲で分かること、さらに言えばHTTPレスポンスヘッダから分かることについて書きます。こういうと、「X-Powered-Byヘッダを見れば一目瞭然www」みたいな反応も考えられますが、そういう自明なものは対象外とします。 (1) キ
安全なデータベース運用、設定は具体的にどうすればいいのか（セキュリティ関連の初期化パラメーター一覧付き）
安全なデータベース運用、設定は具体的にどうすればいいのか（セキュリティ関連の初期化パラメーター一覧付き）：今さら？ 今こそ！ データベースセキュリティ (9)（1/4 ページ） 本連載では、データベースセキュリティの「考え方」と「必要な対策」をおさらいし、Oracle Databaseを軸にした「具体的な実装方法」や「Tips」を紹介していきます。今回は安全なデータベース運用のための設定について紹介します。後半部分では、Oracle Databaseのセキュリティ関連初期化パラメーター一覧を掲載しました。 今回は「構成管理」の中から、安全な設定について紹介します。なお、本記事の後半では、付録として「[保存版] Oracle Databaseのセキュリティ関連初期化パラメーター一覧」を掲載していますので、参考にしていただければ幸いです。 「安全な設定」のために具体的にやるべきこと 「データベ
本日の情報セキュリティコラム[国民を守る情報セキュリティサイト] - デジタル初心者・高齢の立場から考える『情報セキュリティ対策』 老テク研究会 事務局長 近藤 則子
２月１日～３月１８日は「サイバーセキュリティ月間」です。 普及啓発活動へご協力ください。 不審なメールによる情報漏えい被害や個人情報の流出など、生活に影響を及ぼすサイバーセキュリティに関する問題が多数報じられています。 誰もが安心してITの恩恵を享受するためには、国民一人ひとりがセキュリティについての関心を高め、これらの問題に対応していく必要があります。 このため、政府では、サイバーセキュリティに関する普及啓発強化のため、２月１日から３月１８日までを「サイバーセキュリティ月間」とし、国民の皆様にサイバーセキュリティについての関心を高め、理解を深めていただくため、サイバーセキュリティに関する様々な取組を集中的に行っていきます。
![本日の情報セキュリティコラム[国民を守る情報セキュリティサイト] - デジタル初心者・高齢の立場から考える『情報セキュリティ対策』 老テク研究会 事務局長 近藤 則子](https://cdn-ak-scissors.b.st-hatena.com/image/square/807d51f8f5c93f9a7c74859fd3cd49086fe5b68f/height=288;version=1;width=512/https%3A%2F%2Fsecurity-portal.nisc.go.jp%2Fassets%2Fimages%2Fcybersecuritymonth%2Fscreenshot-index.png)
Set up your own malware analysis lab with VirtualBox, INetSim and Burp - Christophe Tafani-Dereeper
In this post we will set up a virtual lab for malware analysis. We’ll create an isolated virtual network separated from the host OS and from the Internet, in which we’ll setup two victim virtual machines (Ubuntu and Windows 7) as well as an analysis server to mimic common Internet services like HTTP or DNS. Then, we’ll be able to log and analyze the network communications of any Linux or Windows m
OSINTによるセキュリティ情報調査方法まとめ - Qiita
最近（2016年頃）、サイバー攻撃の脅威を調べる方法として、公開情報を活用したOSINT（Open Source INTelligence／オシント）に注目が集まっています。私もトレーニングを受けましたが、かなり奥が深く、使いこなせるには時間と経験が相当必要と実感しているところです。それと同時に、OSINTを活用するためには、基本的なテクニックはオープンで共有するほうが効率的だと感じましたので、ここでは、エッセンスをご紹介したいと思います。 ここでは、ポイントを絞ってまとめていきますので、正しい活用にあたっては、インテリジェンスを専門で取り組んでいる教育機関や企業等の提供するサービスの利用をご検討ください。 前提 ファイアウォールやIPS、WAFなどの遮断機器を導入 サイバー攻撃の予兆をつかんだとしても、止めることができなければOSINTの効果は非常に小さいです。 ログ取得 最良のインテリ
入力値検証に関するチートシート - OWASP
この資料は、アプリケーションで適切な入力値検証を行うための、簡単でわかりやすい実用的なガイダンスを提供することに重点を置いています。 入力値検証の目的 入力値検証は、誤った形式のデータがシステムに入力されるのを最小限に抑えるために実行されます。入力値検証は、XSS や SQL インジェクションの一次的な防御方法ではありません。これらの攻撃については、出力エンコードと関連チートシートで取り上げています。 ホワイトリスト型の入力値検証 常に、ユーザー (攻撃者) のリクエストを処理するできるだけ早い段階で攻撃を防ぐことが推奨されます。入力値検証を使用すれば、アプリケーションで処理される前に不正な入力を検出できます。開発者はよくブラックリスト型の入力値検証を実行して「'」文字、文字列「1=1」、<script> タグのような攻撃文字や攻撃パターンを検出しようとしますが、これは非常に欠陥の多いアプ
Lessの便利な使い方
最近 Stop using tail -f (mostly) や 「tail -f」を使うのは情弱、情強は「less +F」を使う などless押しな記事が幾つか上がっているんだけど、タイトルが煽り気味なのか若干反感を呼んでいるようなのでless派が職場で肩身の狭い思いをしないようにもう少し便利な使い方を紹介したい。 tail -fの様なScroll forward less +Fで起動またはless起動中にF 元記事にもあるtail -fと同様の振る舞い。正直この機能と検索だけでいいのであればtailで十分。lessの便利なところは様々な機能との組み合わせにあって、これから紹介する機能は基本的にこのモードと組み合わせが可能だ。あと、less開いてFのほうがタイプが面倒くさくないのでおすすめ。 1行で表示する (改行しない) less -Sで起動またはless起動中に-Sr(-Sでモード切
NTFSの読み方 - Qiita
間違えて5GBくらいのファイルを Shift + Delete してしまった Pandora Recoveryなどの復元ソフトを使えば簡単に元に戻せるだろう なぜかサイズが0KBになってしまう どうせ32bit変数を使っているとかで、自分でNTFSを読めば復元できるだろう ということで、NTFSの読み方を調べた。 結論を先に書くと、消したファイルのサイズが4GB以上の場合、4GB未満のファイルのように簡単に元に戻すことはできない（詳細は後述）。4GB以上のファイルは慎重に扱おう。 参考にしたサイト http://www.writeblocked.org/resources/ntfs_cheat_sheets.pdf https://flatcap.org/linux-ntfs/ntfs/ http://www.kes.talktalk.net/ntfs/ http://blogs.tech
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CSIRT体験記～初めての長期休暇編～
API-Security-Checklist/README-ja.md at master · shieldfy/API-Security-Checklist
GitHub - wtsxDev/Malware-Analysis: List of awesome malware analysis tools and resources
https://github.com/msuhanov/regf/blob/master/Windows%20registry%20file%20format%20specification.md
GitHub - nixawk/pentest-wiki: PENTEST-WIKI is a free online security knowledge library for pentesters / researchers. If you have a good idea, please share it with others.
いろいろなSSL/TLS設定ガイドライン (JNSA電子署名WG 実世界の暗号・認証技術勉強会資料)
