一部訳した本の宣伝: 「入門モダンLinux」 - 覚書
4/6 更新。Amazon上の煽り文を最新化＆公式サイトから目次を転載 一部だけ翻訳にかかわった「入門モダンLinux」という本が4月7日に出るので宣伝を兼ねた紹介をします。 原著は「Learning Modern Linux」です。 本書のタイトルを目にしてまず思うのは「モダンLinuxとはいったいなんぞや」でしょう。これについてはamazonにも載っている煽り文をご覧ください。 Linuxはサーバ、組み込み機器、スーパーコンピュータなどにおいて存在感を示してきました。近年では、オンプレミスのシステムだけではなく、クラウドサービスでも広く使われています。本書は、前半でLinuxを使いこなす上で必要な基本知識を、後半で最新情報をまとめています。Linuxの知識を体系的に整理したい、最新動向が知りたい、運用を改善したい、効率的に開発を行いたい、といった要望をかなえる内容となっています。時代の
内閣サイバーセキュリティセンター（NISC）、「インターネットの安全・安心ハンドブックVer 5.00」を公開 | gihyo.jp
内閣サイバーセキュリティセンター（NISC）、「インターネットの安全・安心ハンドブックVer 5.00」を公開 テレワーク・リモート活動が積極的になり、全世代にとってネットが身近になった「現在」に即した、誰もがインターネットを安全・安心に使うためのハンドブック 内閣サイバーセキュリティセンター（NISC）は2023年2月24日、サイバーセキュリティに関する普及啓発活動の一環として公開している「インターネットの安全・安心ハンドブック」の改訂版、「インターネットの安全・安心ハンドブックVer 5.00」を公開した。 インターネットが社会インフラの1つとなった今、誰もが安心して、安全にインターネットを使えるよう、その時々に合ったサイバーセキュリティに関する知識を身に付け実行するとともに、家族や友人、職場など、身の回りの人たちと共有し、安全なネット社会の構築を実現することを目的に公開されているも
Go 言語製実行ファイル解析の紹介 ～関数情報～ - FFRIエンジニアブログ
はじめに お久しぶりです。セキュリティエンジニアの桑原です。 近年、Go 言語によって作成されたマルウェアが増加しています。 Go 言語の特徴として開発の容易さや任意の環境に向けてビルドを行うクロスコンパイルが可能であるといった点があります。 攻撃者も Go 言語を使用することで、手早く、複数の環境を攻撃できるマルウェアを開発できることが増加要因の 1 つとして挙げられます。 また、以前の記事でも紹介した通り、Go 言語製の実行ファイルは C/C++ 等で作成された実行ファイルとは大きく異なるバイナリ構造をしています。 このため、Go 言語を使用するだけでパターンマッチングによる検出を容易に回避できる可能性があることも増加要因として考えられます。 私たちセキュリティエンジニアは最新の攻撃者の動向に対応するため、Go 言語製マルウェアの解析も必要になってくることでしょう。 そこで、私は先日、
GitHub、無料のパブリックリポジトリユーザーにも、コード内のシークレットを検知してくれる「Secret scanning」を無料提供へ
GitHub、無料のパブリックリポジトリユーザーにも、コード内のシークレットを検知してくれる「Secret scanning」を無料提供へ あるアプリケーションからデータベースやWebサービスのAPIなどにアクセスする場合、正規のアクセスであることを証明するなどの目的でIDとパスワードのセットやアクセストークンなどを必要とすることはよくあります。 こうした、いわゆるシークレットなどと呼ばれる重要な情報はコードに書くべきではありませんが、それでもしばしばパブリックリポジトリのコード中に誤って書き込まれ、公開されてしまうという事故が絶えません。 GitHubはこれまで、コード中のシークレットを検知してくれる「Secret scanning」機能を有償のユーザーに対して提供してきていました。 参考：GitHub、コード中に書いてはいけないアクセストークンを発見、通知してくれる「Secret sc
AWSがLinux関連OSSを特許リスクから守る「Open Invention Network」に加盟を発表
Amazon Web Servicesは、Linux関連のオープンソースを特許リスクから保護する「Open Invention Network」への加盟を発表しました（AWSの発表、OINの発表）。 これにより、Amazonとその子会社が持つ特許全体のうちLinux関連（正確には「Linux System definition」）についての特許がOpen Invention Networkとのクロスライセンスの対象になるとのことです。 Today we are excited to announce that Amazon has joined the Open Invention Network. AWS looks forward to working with OIN, its members, and the broader #opensource community to fur
Twilioがパスワードなしでサインアップする認証提供、永続的で直接的な顧客関係が可能に | Web担当者Forum
SMSやチャット、音声通話のクラウドAPIを展開する米国Twilio(トゥイリオ)は、顧客エンゲージメントプラットフォーム(CEP)製品のラインナップと機能強化を11月2日(現地時間)発表した。企業が収益性の高い長期にわたる直接的な関係を顧客と築くために必要な技術を提供するよう設計されている。サンフランシスコで2日から3日(日本時間11月3日～4日)に開いた年次カンファレンス「SIGNAL 2022」で明らかにした。 パスワードを使用しない「Verify Silent Network Authentication(SNA)」による所有認証方法を提供する。信頼できる携帯電話会社の信号を利用して、サインアップのフローを中断することなくエンドユーザーを新規ユーザー登録へと迅速に移行させる。30カ国以上の56超のモバイルオペレーターと提携し、追加のPINコードやユーザーによる視覚認証を必要とするこ
AWS Virtual Waiting Roomのご紹介 | Amazon Web Services
Amazon Web Services ブログ AWS Virtual Waiting Roomのご紹介 この記事は、プリンシパル・ソリューションズ・アーキテクトのジャスティン・ピルトル、ソフトウェア開発エンジニアのジョーン・モーガン、ソフトウェア開発エンジニアのジム・タリオが執筆しています。 本日、AWS は公式の AWS Virtual Waiting Room (仮想待合室)ソリューションをご紹介します。このオープンソースのソリューションは既存のウェブアプリケーションやモバイルアプリケーションと統合し、需要のピーク時や突然のトラフィックバースト時にユーザーをバッファリングし、システムのリソースが枯渇するのを防ぐことができます。 一般的に、需要が不明な場合や大量のトラフィックが予想される様なイベントの場合に、仮想待合室が使用されます。このようなイベントの例としては、コンサートチケットの
Z会グループのサービスで「他人の受検結果が見える」、システム不備で個人情報漏洩
著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。 今回は3件のシステムトラブルを取り上げる。Z会グループでの個人情報漏洩と、北海道千歳市のメールサーバーへの不正アクセス被害、那覇市立図書館のシステム障害である。 検証が不十分なまま転用したプログラムが原因 教育事業を展開するZ会のグループ企業で、学校や企業に教育ソリューションを提供するZ会ソリューションズは2022年10月12日、同社が提供する能力測定サービスにおいて、他人の受検結果を閲覧できる不具合があったとして謝罪した。対象サービスは学校向けに提供する課題解決学習用の非認知能力可視化ツール「DiscoveRe Method」。 不具合は、DiscoveRe MethodのWebシステム上で受検者が全体の傾向と個人の結果を示す散布図を表示した際、ソースコードの詳細を表示す
Docker DesktopがWebAssemblyランタイムを統合。コンテナと同様にWebAssemblyイメージを実行可能に
Docker DesktopがWebAssemblyランタイムを統合。コンテナと同様にWebAssemblyイメージを実行可能に Docker Desktopを提供するDocker社は、Docker DesktopにWebAssemblyランタイムを統合することによる、Docker DesktopのWebAssembly対応版のテクニカルプレビューを発表しました。 またDocker社はこれに合わせて、WebAssemblyをあらゆるプラットフォームでセキュアに実行できるようにするための仕様策定と実装を進めている団体「Bytecode Alliance」への加盟も発表しました。 DockerにWASMランタイムのWasmEdgeを統合 下記の図がDocker DesktopにWebAssemblyを統合した仕組みを示しています。 左側と中央は通常のDockerコンテナを利用する場合の仕組みで
【重要・要対応】bingo!CMS 認証回避脆弱性に関する対応をお願いいたします
重要・要対応 bingo!CMS 認証回避脆弱性に関する対応をお願いいたします 記：2022年10月11日 更新：2022年10月13日 平素よりお世話になっております。 この度、シフトテックが開発・販売する「bingo!CMS」におきまして、認証回避の脆弱性（CWE-288）の存在が確認されました。 bingo!CMSをご利用のお客様におかれましては、お手数をおかけいたしますが、下記をご確認のうえ至急ご対応くださいますようお願い申し上げます。 ※2022年10月13日更新：bingo!CMSのバージョンごとの必要な対策を一部修正しました。 確認された脆弱性 「ログイン認証を必要とする管理機能の一部に対し、特定のURLでアクセスすることにより、不正なコードを含むファイルがアップロードされる認証回避の脆弱性」（JVN識別番号 #74592196） 攻撃者がアップロードされたファイルに対し特定
Terraform 1.3がGAになりました | DevelopersIO
2022/09/22 にTerrafrom 1.3 がGA(generally available)になりました。新機能をチェックしていきましょう。 ObjectタイプのVariableに任意のattributesを設定可能に Variableのtypeでobjectを指定した際の新機能です。 1.3以前でも、オブジェクトの必須attributeは設定することができました。 必須attributeの例 variables.tf variable "hoge" { type = object({ a = string }) } terraform.tfvars hoge = { b = "bbb" } 必須attributeのaが無いからエラー % terraform plan ╷ │ Error: Invalid value for input variable │ │ on terraf
サイバー攻撃の被害が「思ったよりも少ない」ウクライナから日本が学ぶべきこと
2022年9月6日、電子政府の総合窓口「e-Gov」や地方税ポータルシステム「eLTAX（エルタックス）」、ジェーシービー（JCB）のWebサイトなどが閲覧しづらくなる状況に陥った。親ロシア派のサイバー攻撃集団「キルネット」が通話アプリの「テレグラム」に犯行声明を投稿しており、関与が疑われている。 キルネットはロシアが侵攻を続けているウクライナや、ウクライナを支援する国に対してサイバー攻撃を仕掛けているという。日本もサイバー攻撃の標的とされるなか、日本政府や企業はどう対処すべきか。 元防衛省で、NTTのチーフ・サイバーセキュリティ・ストラテジストを務める松原実穂子氏は2022年9月14日、「サイバー戦の実態と台湾情勢」と題した講演で、ウクライナが受けた「妨害型」などのサイバー攻撃について「思ったよりも被害が少ない」と指摘した。その理由から日本が学ぶべきことがあるという。 キルネットは202
OktaでPasskeyが利用できるようになっていたのでいろいろ確認してみた
こんにちは！IDチームのたつみんです。 今年の「世界パスワードデー」である5月5日にApple、Google、Microsoftが共同で発表したPasskeyの取り組みが話題になったことを覚えている人も多いのではないでしょうか。 このPasskeyがiOS16で利用可能となったので早速Oktaでどのような挙動となるかを試してみました。 Passkeyとは はじめにざっくりとしたPasskeyの概要について触れておきます。 簡易な表現をすると、PasskeyはFIDO AllianceによるFIDO (WebAuthn )という標準規格で作成したキーをマルチデバイスで利用できるよう応用したものだと言えます。 これまでFIDOは以下のような課題があり、あまり一般的な認証要素とは言えませんでした。 Yubikeyに代表されるようなセキュリティキーを導入するハードル Apple Face ID/T
技術書典13に出典し、「Linux Container Book (1) Namespace / Network 編」という本を出しました - TenForward
gihyo.jp で連載している「LXCで学ぶコンテナ入門」やこのブログ、zenn.dev の記事をベースに Linux コンテナの本を書き、技術書典13で「Linux Container Book (1) Namespace/Network編」という本を出しました。 techbookfest.org 技術書典13は終了しましたが、電子版はいつでもご購入いただけますので、ぜひお買い求めください。 この本では Linux でコンテナを作成する場合に使われる Linux カーネルの機能のうち、Namespace とネットワーク関連の機能について説明しています。 Docker 動かしてるけどどんな仕組みで動いているんだろう？と思う方、コンテナランタイムを作るぞという方、その他興味を持たれた方は是非お買い求めいただくとうれしいです。 買うほどでないなあ、という方は是非 gihyo.jp さんで行っ
パスワードのない世界に向けて（えーじ） — TechFeed Conference 2022講演より
本記事は、TechFeed Conference 2022のセッション書き起こし記事になります。 イベントページのタイムテーブルから、その他のセッションに関する記事もお読み頂けますので、一度アクセスしてみてください。 本セッションの登壇者 セッション動画（YouTubeチャンネル登録もお願いします。） スライド資料へのリンク 皆さんこんにちは。えーじです。今日は「パスワードのない世界に向けて」というお話をしたいと思います。 パスワードだけでは守りきれない世の中に 皆さんご存知のように、今多くのWebサイトはパスワードを使ったログインが主流です。 しかし、どんなに堅牢なシステムでも、ユーザーさんが弱いパスワードを作ってしまったり、同じパスワードを複数サイトで使い回してしまったり、フィッシングに引っかかってしまえばアカウントは乗っ取られてしまいます。 近年フィッシングが急増していることからもわ
Twilio breach let hackers gain access to Authy 2FA accounts
Twilio’s investigation into the attack on August 4 reveals that hackers gained access to some Authy user accounts and registered unauthorized devices. Authy is a two-factor authentication (2FA) service from Twilio that allows users to secure their online accounts where the feature is supported by identifying a second time via a dedicated app after typing in the login credentials. When logging into
クラウドのセキュリティチェック効率化SaaS運営Conoris Technologies、ジェネシアVから7,500万円を調達 - BRIDGE（ブリッジ）テクノロジー＆スタートアップ情報
Conoris Technologies の皆さん。中央が、代表取締役の井上幸氏。 Image credit: Conoris Technologies クラウドサービスのセキュリティチェック Saas を開発・提供する Conoris Technologies（旧称：ミツカル）は24日、ジェネシア・ベンチャーズから約7,500万円を調達したことを明らかにした。ラウンドステージは不明。同社にとっては、今年3月に実施した2,400万円の調達（調達先やラウンドは不明）に続くものだ。あわせて、同社は「Conoris Answer」の正式ローンチも発表した。 Conoris Technologies は2020年6月、ワークスアプリケーションズやリクルートキャリアを経て、パーソルホールディングスなどでバックオフィス系システムの購買などに従事してきた井上幸氏（現、代表取締役）らにより共同創業。クラウ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
This week’s Reddit breach shows company’s security is (still) woefully inadequate
City of Oakland systems offline after ransomware attack
バッファローのNAS、特定条件下でOneDriveのデータが削除される不具合。回避方法を案内中【やじうまWatch】
