こんにちは。Product Securityチームの@gloriaです。前回、自動化テストエンジニアからセキュリティエンジニアへのキャリアチェンジについて記事を書きました。 今日は、最近OSSとして公開した社内ツールのプロジェクトについてお話をしたいと思います！ 「Testdeck」とは？ TestdeckはGolangで書いたgRPCマイクロサービスのインテグレーションテスト、エンドツーエンドテスト（E2E）とセキュリティテストの自動化ツールです。以下の機能を提供しています： gRPCとHTTPエンドポイントのインテグレーションテスト・E2Eテスト ファズテスト 悪意のあるペイロードの注入（Burp SuiteのIntruderという機能のように） gRPCとHTTPリクエストのユーティリティメソッド CharlesやBurp Suiteなどのデバッギングプロクシーに接続し、リクエストの

GitHubによると、新機能のCode Scanningは、「全てのプルリクエストやコミット、マージを分析し、脆弱なコードが作成されるとすぐにそれを認識して、脆弱性が本番環境に入り込むのを防ぐのに役立つ」という。 脆弱性を検知すると、Code Scanningは開発者にコードの修正を促す。 Code Scanningの内部では、「CodeQL」が用いられている。CodeQLは、GitHubが2019年にコード分析基盤「Semmle」を買収し、そのプラットフォームに統合した技術だ。 CodeQLは、「code query language（コードクエリー言語）」の略で、大規模なコードベースの中から1つのセキュリティ脆弱性のさまざまなバージョンを検知するためのルールを作成できる汎用言語だ。 ユーザーにCode Scanningを利用してもらうため、GitHubのセキュリティチームは2000を超

2020年8月に修正された脆弱性 CVE-2020-1472はドメインコントローラーが使用するNetlogon リモートプロトコルに欠陥が見つかったもので、その内容からZerologonとも呼称されています。Microsoftをはじめ、セキュリティ組織は深刻な脆弱性であることから早急な対応を行う様呼び掛けています。ここでは関連する情報をまとめます。 Zerologonって何？ Windows が実装する Netlogon リモートプロトコル （MS-NRPC）に発見された脆弱性の名前。 脆弱性悪用を通じてパスワードが変更されドメイン管理者権限の取得が行われる恐れあり。 9月11日に技術情報と実証コードが公開され、9月24日には攻撃に悪用されたとMicrosoftが注意喚起。 8月12日に脆弱性に対応するセキュリティ更新プログラムが公開済。非Winデバイス互換性への考慮から2段階に分け対応が

陸上自衛隊の「日報」、森友・加計学園の資料、「桜を見る会」の招待者名簿……。安倍政権では公文書のずさんな管理が次々と発覚した。これらを受け、国立公文書館は、公文書管理の専門家である「アーキビスト」の認証制度を創設することを発表した。今年9月末まで申請を受け付け、来年1月に認証アーキビスト1期生約70人が誕生する。行政による不都合な書類やデータの隠蔽を、防ぐことができるのだろうか。（文：ジャーナリスト・岩崎大輔／Yahoo!ニュース 特集編集部）

管理画面の時だけ認証をかけたいみたいな要件はよくある。今回はその要件をALBで特定のpathの時だけCognito認証を通すという構成で実装してみたのでメモ。構成はaws-cdkを使った。 やりたいこと /admin/以下の場合はCognitoの認証をかけ、許可したユーザーしかアクセスできないようにする それ以外のパスではアプリケーションに認証なしで繋がるようにする 実装 aws-cdk 1.62.0を使って実装した。なお今回のコードは実際の実装をミニマムに変更しているので、動作確認はちゃんと出来ていない（たぶんそのままだと動かなそう）。雰囲気だけ感じてください。 import { IVpc, Port } from "@aws-cdk/aws-ec2"; import { Ec2Service } from "@aws-cdk/aws-ecs"; import { Application

ＮＴＴドコモの電子マネー決済サービス「ドコモ口座」やペイペイなどスマートフォン決済事業者を利用した不正な預金引き出しが見つかった問題で、一部でＳＭＳ（ショートメッセージサービス）を使った本人確認が突破され、被害が発生していることが１７日、分かった。ドコモ口座以外でも被害が確認された背景の一つとみられ、本人確認が十分でない携帯電話が使われた可能性がある。金融庁もＳＭＳ認証だけでは被害が抑止できないと判断、同日までに決済事業者に本人確認を強化するよう注意を呼びかけた。 【表】スマホ決済事業者のセキュリティー対策 一連の問題をめぐっては、ドコモ口座を開設する際、メールだけで口座が開設できるなど本人確認が不十分で、なりすましが容易だったことが一因とされた。ただ、その後、件数は少ないもののペイペイやメルペイなどドコモ以外のスマホ決済事業者でも同種事案が相次いで確認された。多くのケースで共通するのがＳ

こんにちは、崔です。 今回は、2020年9月8日から9月30日の間で開催されているAWS Summit Online のセッションで「金融の再発明を可能にするセキュリティとアジリティ ～ Finatext グループでの AWS 活用事例 ～」を視聴しましたので、レポートをお届けします。 ミッションクリティカルな金融サービスにおいて、AWSを利活用することで、アジリティとセキュリティを改善されていました。 セッション情報 スピーカー 株式会社 Finatext ホールディングス 代表取締役 林 良太 氏 リードエンジニア 田島 悟史 氏 概要 Finatext グループは、「金融を“サービス”として再発明する」をミッションに掲げています。 レガシーシステムが多く残る金融業界において、金融サービスに共通して必要となる機能をクラウド化し、サービス設計から開発、グロース施策までを一気通貫で提供する

Automatically put your Heroku apps to sleep, so you save 💵

はじめに 『最後まで気を抜くな！』 ～～「家に帰るまでが遠足です。　皆さん気を付けて帰りましょう・・・」 小学生の頃、遠足の帰りに教頭先生に言われた言葉を思い出した。～～ そんなしくじりと、その後の試行錯誤の体験です。 こんにちは、上山（かみやま）です。 前職では社内のセキュリティに関わる規定やルール、システム開発・導入の際の支援などしており、 AWSなどのクラウド上で構築したサービスについても扱うことが多く、やれ「IPアドレス制限してね」とか、 「２要素認証設定してね」などと言っていましたが、自身で直接設定した経験はゼロ。 そんなAWS初心者が当社で初めてAWSを触った実体験を、同じようにAWS初心者の皆様へほんの少しですが共有できればと思います。 今回のお題：1Passwordを利用した仮想MFAデバイス設定 今回は、複数のIDやパスワードを管理することができるアプリ「1Passwor

こんにちは、CX事業本部の若槻です。 前回投稿した次の記事の執筆のための検証の際に、 AssumeRole（スイッチロール）で一時クレデンシャルを取得して環境変数にセットするワンライナー | Developers.IO 記事で紹介しているワンライナーにより取得した一時クレデンシャルの情報を環境変数にセットしてもAWS認証が通らずハマったので、その際の話を共有します。 事象 前述の記事で紹介している次のコマンドを実行して、AssumeRoleで取得した一時クレデンシャルの情報をを環境変数AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEYおよびAWS_SESSION_TOKENにセットしました。 % target_profile=<Assume先プロファイル名> % mfa_code=<6桁のMFAコード> % AWS_STS_CREDENTIALS=`aws st

Windows 10のデフォルトのアンチウイルスソフト「Windows Defender」にひっそりと新機能が追加され、この機能がセキュリティ研究者の憂慮を招いていることがわかりました(BleepingComputer)。 Well, you can download a file from the internet using Windows Defender itself. In this example, I was able to download Cobalt Strike beacon using the binary "MpCmdRun.exe" which is the "Microsoft Malware Protection Command Line". pic.twitter.com/RdCira3QPt — Askar (@mohammadaskar2) Septe

Photo by Rich Smith on UnsplashI have to be honest. This task seems to look easy but it was quite a while for me to understand how to do it. From an Ionic development perspective, the tricky part here is to figure out the Captcha part, which took me awhile to figure out but I eventually did. Firebase Phone Authentication was just very recently made available in my country, so I’m quite excited abo

財務省は、国の予算が適切に使われているかを検証する「予算執行調査」の結果を公表しました。サイバー攻撃に対処する人材を育成する総務省の事業については、執行額の6割が会場の運営費などに使われ、非効率だとしてオンライン講習などを導入するべきだとしています。 それによりますと、サイバー攻撃に対処する自治体などの人材を育成する総務省の事業については、執行額の6割が講習会の運営費などに使われ、非効率だとしています。 オンラインの講習などを導入すれば、費用を抑えられるうえに、より多くの自治体が講習に参加できると指摘しています。 また、農家を目指す49歳以下の人を対象に経営支援などを行う農林水産省の事業については、政策効果を高めるには、ただ資金を出すだけでなく、自治体と協力して担い手を確保する計画を整備する必要があると指摘しています。 財務省は、今回の調査結果を各省庁に示し、今月末に提出が締め切られる来年

AWS JAPAN APN ブログ 【APN Ambassadors ブログシリーズ第三弾】Amazon WorkSpaces で多要素認証（MFA）を利用する場合でもユーザは AD だけで管理したい パートナーソリューションアーキテクトの大林です。 本記事は、「Japan APN Ambassador」 の方々に、AWS JAPAN APN ブログ にて技術情報をお届けいただく【APN Ambassadors ブログシリーズ】の第三弾となります。今回は、APN Ambassador である株式会社BeeX 那須 隆 様より、寄稿いただきました。 本記事は、2020 年 8 月 26 日時点の内容となります。最新の情報につきましては、AWS 公式ドキュメントを参照ください。 BeeX の那須と申します。約 4 ヶ月ぶり 2 度目の記事になります。 夏になると少しはいい状況になるかなと思って