グーグル、セキュリティキー「Titan Security Key」を発売へ
Googleが、8万5000人以上いる従業員の中に2017年初め以来アカウントをハッキングされた者は誰もいないと明かしたが、それはすべて、同社がテストしていた初期バージョンのセキュリティキーのおかげだった。 そして今回、そのセキュリティキー「Titan Security Key」の最新バージョンを世界中の人が利用できるようになる。 セキュリティキーは、多要素認証（複数の方法によってログインの権限を持つユーザーであることを証明すること）を通じてセキュリティを強化してくれる。パスワードはオンラインで盗めるかもしれないが、ユーザーが持っている物理的なセキュリティキーを盗むのはもっと困難なことが多い。 Googleは以前からセキュリティキーを支持し、「Advanced Protection Program」の要件に加え、「最もフィッシングされにくい最強の認証要素」と宣伝していた。 同社のアイデンテ
Security + DevOps – DevSec Hardening Framework
Add security to your automation Hardening adds a layer into your automation framework, that configures your operating systems and services. It takes care of difficult settings, compliance guidelines, cryptography recommendations, and secure defaults. What Others Say The team behind dev-sec.io “Hardening Framework” programmed most of the benchmark into InSpec rules that make it easy to “test” compl
実用的な大規模ネットワークのディフェンス:あるいは「Eierlegende Wollmichsau」の保護 by Travis Carelock - CODE BLUE 2015
実用的な大規模ネットワークのディフェンス:あるいは「Eierlegende Wollmichsau」の保護 by Travis Carelock - CODE BLUE 2015 現代のウェブ規模なネットワークは非常に複雑な空間である。システム管理における現代の技術をもってすれば、様々なインスタンスタイプを生成・消去・再利用することは取るに足らない。その範囲はデータセンターにあるベアメタルマシンからオンデマンドのサードパーティの仮想マシンまでに及び、今では新しいコンテナとマイクロサービスが流行している思われる。インスタンスは家畜であって、もはやペットではない。この永続的なチャーンと柔軟性は、絶え間ない変化、高い可用性、効率的なインフラの中でまさに求めていたものである。オンデマンドでノードを生成や消去する、または継続的な統合パイプラインの一部として連続的かつ自動的にアプリケーションをスケール
セキュリティ監査ツールLynis | Nobwak's Lair
Lynisとは Linux向けのセキュリティ監査ツール。 http://www.rootkit.nl/projects/lynis.html Linux向けではあるが、Linux以外でも使える。 FreeBSD, Solarisに加えてなんとOS Xまで。 このツールを実行すると、OSだけでなく、そこにインストールされているソフトウェアのセキュリティチェックもしてくれる。 Lynisのいいところ Lynisのポイントは、問題のある設定、状態を指摘してくれるところにある。 具体的には、期限切れになっているSSLや、パスワード設定のないユーザアカウントや、不適切なパーミッションとか、そういったものを指摘してくれる。 指摘のしかたも、「Warnings」で危険性を挙げることのほかに、「Suggestions」で推奨対応方法も教えてくれる。 たとえばこれが「インストールされているソフトウェアに脆弱
Introducing Lemur
Netflix is pleased to announce the open source release of our x.509 certificate orchestration framework: Lemur! The Challenge of Certificate ManagementPublic Key Infrastructure is a set of hardware, software, people, policies, and procedures needed to create, manage, distribute, use, store, and revoke digital certificates and manage public-key encryption. PKI allows for secure communication by est
Windows標準の機能を使用した標的型攻撃の対策 #ssmjp /ssmjp1507
2015年7月31日 #ssmjp での資料です。
パスワードを入力させるSaaSは全て脆弱という考え方 - ロードバランスすだちくん
シンジです。そんなこと言ったらなんにも使えないじゃ無いか！というのはその通りなのですが、cloudpack - CTO鈴木は「自社のADからSSO（シングルサインオン）できないサービスは原則採用しないもん！」というポリシーを持っています。これって実際のところどうでしょうか？今回はcloudpackがどうやってSaaSを採用するかという内部資料の一部を特別に公開して、SaaSの選び方について考えてみます。 cloudpackは原則、AWSなどへのログインにパスワードを使いませんこちらは、「最強のセキュリティでAWSマネジメントコンソールにアクセスする方法」でご紹介した通りなので詳細は割愛しますが、社内ではパスワードを使うシチュエーションは、「パソコン/Macにログインするときと、SSOするときのみ」です。どちらにしてもADのユーザーIDとパスワードしか使いません。まさしくSSOです。SAML
Norton ConnectSafe
Retirement Announcement for Norton TM ConnectSafe On November 15, 2018, Norton ConnectSafe service is being retired or discontinued meaning the service will no longer be available or supported. You may continue to use ConnectSafe until November 15, 2018. However, we do recommend that you take a moment to review important details related to this announcement below. ConnectSafe Retirement FAQ For co
Retire.js
There is a plethora of JavaScript libraries for use on the web and in node.js apps out there. This greatly simplifies, but we need to stay update on security fixes. "Using Components with Known Vulnerabilities" is now a part of the OWASP Top 10 and insecure can libraries can pose a huge risk for your webapp. The goal of Retire.js is to help you detect use of version with known vulnerabilities. Ret
シンボリック実行に入門しようとした | 一生あとで読んでろ
はじめにシンボリック実行(symbolic execution)という用語をセキュリティ系の論文でよく見かけるようになった．ここでは，シンボリック実行の基礎となる理論を辿る．筆者はソフトウェアテストの研究には疎く，おそらく本稿には若干以上の誤謬と誤解が含まれているだろう．ぜひ識者の教示を乞いたい． 発祥シンボリック実行は主にソフトウェアテストの領域で古くから研究されてきたトピックである．シンボリック実行という用語の初出は遡ること38年前，James C. KingらによるSymbolic Execution and Program Testing [PDF]という論文だ．Dijkstraがgoto文の濫用による大域脱出を批判したのが1968年であり，Guarded Command Languageを提案したのが1975年のことである．この論文が発表された1976年当時はまさに構造化プログラ
Page Redirection
If you are not redirected automatically, follow the link to example
The Zeek Network Security Monitor
Zeek (formerly Bro) is the world’s leading platform for network security monitoring. Flexible, open source, and powered by defenders. Zeek has a long history in the open source and digital security worlds. Vern Paxson began developing the project in the 1990s under the name “Bro” as a means to understand what was happening on his university and national laboratory networks. Vern and the project’s
「オンライン本人認証方式の実態調査」報告書について：IPA 独立行政法人 情報処理推進機構
2013年以降、流出した個人のID・パスワード（以後、アカウント）が、不正アクセスに悪用される、“パスワードリスト攻撃“が多発しています（*1）。IPAではこれを受け、インターネットサービスにおける利用者（個人）とサービス事業者双方のオンライン本人認証（*2）の実態調査をおこない、安全なオンライン認証を実現する上での利用者側、サービス事業者側の対策を検討し、優先すべき対策項目を報告書として取りまとめました。 調査結果から、利用者の安全なパスワードに対する認識は決して低くはないが、適切に設定している割合は低い。また、サービス事業者が提供しているパスワード設定のセキュリティレベルは最低限の安全条件を満たしているとは言い難い、という結果が判明しました。調査結果のポイント及び詳細については、以下のプレスリリースや調査報告書をご参照ください。 （*1）本報告書では公開情報をもとに2013年に発生した
OWASP Zed Attack Proxy (ZAP)で脆弱性検査する方法
OWASP Zed Attack Proxy (ZAP)の使い方の例をいくつかメモします。各操作の細かい説明は別の記事で書くかもしれません。 ※ 本記事で使用するOWASP ZAPのバージョンは、2.2.2です。 使い方１：ローカル・プロキシとしてブラウザの通信内容をチェックするOWASP ZAPをローカルのプロキシとして使用し、ブラウザの通信をOWASP ZAP経由で行います。その後、記録された通信内容を確認する、といった使い方です。 OWASP ZAPを起動します。ブラウザを起動します。ブラウザのプロキシ設定で、OWASP ZAPの動作するホストとポート番号をセットします。ブラウザ上で診断の対象となるWebサイトにアクセスします。目的のページで目的の動作を行います。OWASP ZAPの[サイト]タブで、目的のリクエスト(URL)をクリックし、[リクエスト]タブや[レスポンス]タブで通信
[Go] port 80を開いたあとroot権限を捨てるwebサーバの例 - Qiita
port 80を開くためにはroot権限が必要だが、開いたあとはセキュリティーリスクを最小限にするために一般ユーザ権限に降格したい、というWebサーバをGoで書く例です。 【追記3】 下記の例ではLinuxで動作させた場合に不十分です。 Linuxではsetuidを呼び出したスレッドにしか効かないので、以下の例をそのままLinuxで動かすとsyscall.Setuid()は成功しますが、HTTPのHandlerでは別スレッドで動くことがあるため、rootのままで動作することになります。 methaneさんのコメントを参照ください rootで起動した状態で":80"をlistenして syscall.Setuid() で一般ユーザになり http.Serve()する package main import ( "net" "net/http" "syscall" "log" ) func m
![[Go] port 80を開いたあとroot権限を捨てるwebサーバの例 - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/4beb5c6065622a79cb9aa2e7f17bb88a6deb58c8/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-412672c5f0600ab9a64263b751f1bc81.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTk3MiZoPTM3OCZ0eHQ9JTVCR28lNUQlMjBwb3J0JTIwODAlRTMlODIlOTIlRTklOTYlOEIlRTMlODElODQlRTMlODElOUYlRTMlODElODIlRTMlODElQThyb290JUU2JUE4JUE5JUU5JTk5JTkwJUUzJTgyJTkyJUU2JThEJUE4JUUzJTgxJUE2JUUzJTgyJThCd2ViJUUzJTgyJUI1JUUzJTgzJUJDJUUzJTgzJTkwJUUzJTgxJUFFJUU0JUJFJThCJnR4dC1hbGlnbj1sZWZ0JTJDdG9wJnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9NTYmcz05ZGY2MjJmNmM4OGM2MDNmNDc3NTQ2Y2RmNmM0NjhkNA%26mark-x%3D142%26mark-y%3D57%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZoPTc2Jnc9NzcwJnR4dD0lNDBzZnVqaXdhcmEmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPTU4M2M1ZDQxOGM5YmE1OGQwYmNmMDMxNTg0NzFkNWM3%26blend-x%3D142%26blend-y%3D486%26blend-mode%3Dnormal%26s%3Dfc9db35e1bdea88b5c11b8b70dbb9a2d)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
FireHOL IP Lists | IP Blacklists | IP Reputation Feeds
Yosai
Never Ending Security
http://www.selectrealsecurity.com/public-block-lists
クラウド型Web脆弱性診断ツール「VAddy」
