はじめてでも爆速でCentOS6.6（さくらのVPS）をセキュアにセットアップする方法まとめ - 憂鬱な世界にネコパンチ！
爆速でセットアップを完了するため、極力コピペで設定できるようにしてみたよ（・∀・） 動作検証は、さくらのVPSで標準OSをインストールして行った。記事執筆時点ではCentOS6.6がインストールされたぞ。 # cat /etc/issue CentOS release 6.6 (Final) # uname -rs Linux 2.6.32-504.3.3.el6.x86_64 お知らせ 本記事の内容をFabric化したスクリプトを公開！ぜひ試してみてね。 → 超速でCentOS6.6（さくらのVPS）をセットアップする俺史上最強のFabricスクリプトをさらす rootのパスワード変更と作業用ユーザの作成 まずは、コンソールからSSHで接続しよう。 [localhost ~]$ ssh root@XX.XX.XX.XX なお、サーバを起動してない場合は、事前に管理画面からサーバを起動しよ
SSH の設定でセキュリティ強化 for お名前.com VPS - 二度目の人生リセット
2014-08-22 SSH の設定でセキュリティ強化 for お名前.com VPS VPS お名前.com インフラ構築 SSH SSH のポート番号を変更しても意味がない VPS 初心者向けに初期設定の手順を公開しているサイトの多くが「セキュリティー強化のため SSH の Port は10022 に変更」と書かれていますがほぼ無意味である。数分程度の時間稼ぎは出来ると思いますが 0 から 65535 のポートすべてをスキャンすれば SSH のポートは判別可能。結論は SSH の Port はデフォルトの 22 のままで良いということ。 じゃぁ、不正アクセスの対策はどうすればいいかというと…。 SSH 接続は鍵認証方式（2048 bit以上推奨）のみ受け入れる root での SSH 接続は拒否する iptables で 接続可能なホストを指定する（固定IP推奨） Fail2Ban な
そこそこセキュアなlinuxサーバーを作る - Qiita
先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd
自宅を「ハッキング」してわかったこと
自宅のネットワークに接続されたスマートテレビやルーターにも、攻撃者が悪用できてしまう脆弱性が存在するかもしれません。Kaspersky Labのエキスパートが、自宅のネットワーク対応デバイスをハッキングして検証しました。 スマートデバイスのセキュリティは、今や大きな関心の的です。自動車や冷蔵庫、ホテル、ホームセキュリティなどに脆弱性を発見したという、ハッカーやリサーチャーによる記事もあちこちで目にします。これら諸々は総称して「IoT」（Internet of Things：モノのインターネット）と呼ばれ、業界で最も注目されているトピックの1つです。もっとも、こうした研究報告には1つだけ問題があります。それは、あまり身近に感じられないこと。IoTについて考えるようになり、私が思い至ったのは、いまここにある脅威から身を守ることができないのなら将来発生し得る新しい脅威に対して何ができるというのか
Wiresharkで公衆無線LANのヤバさを確認してみた
私（@honeniq）の個人ブログです。日々の生活の中で感じた諸々のことから、 人さまにお見せできるような上澄み部分を抽出して投稿しています。 前置き ここ数年の携帯キャリアやコンビニ業界の頑張りで、町中に公衆無線LANのAPが溢れていますが、あれって安全なんでしょうか？盗聴される的な観点で。 パスワード無しのノーガードAPは論外としても、 契約者にだけWPAキーを教える((けど、利用者が多すぎて公開しているも同然の))タイプ APにはキー無しで入ることができ、Webアクセスをすると認証ページにリダイレクトするタイプ よく見かけるこの2タイプもやヤバそう。 試してみる前の認識 無線である以上は、自分が飛ばした電波は誰でも傍受できる。じゃあ暗号化して中身が分からないようにしましょう、ってなるけど、1つ目のタイプみたいに不特定多数の人が同じWPAキーを知っている場合、暗号化してもあんまり意味な
そろそろ押さえておきたい AngularJSのセキュリティ
This document summarizes a microservices meetup hosted by @mosa_siru. Key points include: 1. @mosa_siru is an engineer at DeNA and CTO of Gunosy. 2. The meetup covered Gunosy's architecture with over 45 GitHub repositories, 30 stacks, 10 Go APIs, and 10 Python batch processes using AWS services like Kinesis, Lambda, SQS and API Gateway. 3. Challenges discussed were managing 30 microservices, ensur
総務省｜報道資料｜クラウドサービス提供における情報セキュリティ対策ガイドラインの公表
総務省では、クラウドサービス利用の進展状況等に対応するため、クラウドサービス提供事業者が留意するべき情報セキュリティ対策に関する「クラウドサービス提供における情報セキュリティ対策ガイドライン」を策定しましたので、公表します。 「クラウドサービス提供における情報セキュリティ対策調査検討会」（構成員については別紙1参照）における検討結果を踏まえて策定したガイドライン（案）について、意見募集を平成26年2月22日（土）から同年3月16日（日）まで行ったところ、別紙2のとおり11件の御意見を頂きました。 今般、当該意見募集の結果を踏まえ、「クラウドサービス提供における情報セキュリティ対策ガイドライン」を策定しましたので、公表します。
送信ドメイン認証の基礎知識
送信ドメイン認証を実現する2つの方式 前回で説明したように、SMTPプロトコルでは送信者の詐称が可能であるため、スパムや詐欺メールを防ぐことが難しくなっている。送信ドメイン認証とは、そのメールが、送信者と名乗っているアドレスに示されるドメイン（送信ドメイン）から本当に送られているかどうかを確認するための仕組みだ。たとえば「user1@example.com」という送信者からメールが送られてきたとすると、本当にそのメールがexample.comというドメインから送られてきたものかどうかをチェックできるようになる。 現在、送信ドメイン認証技術には大きく分けて、IPアドレスベースのものと電子署名ベースのものの2つが存在する。IPアドレスベースの認証方式には「Sender ID」や「SPF（Sender Policy Frameworks）」が含まれる。また、電子署名ベースのものには「Domain
Weak passwords brute forced
EngineeringWeak passwords brute forcedSome GitHub user accounts with weak passwords were recently compromised due to a brute force password-guessing attack. I want to take this opportunity to talk about our response to this… Some GitHub user accounts with weak passwords were recently compromised due to a brute force password-guessing attack. I want to take this opportunity to talk about our respon
サービスごとに異なるパスワードを使い分ける方法 - kazuhoのメモ置き場
最近、パスワードの使い回しをしているユーザーに対する攻撃が出回るようになってきています (参照: パスワード攻撃に対抗するWebサイト側セキュリティ強化策 | 徳丸浩の日記) が、マスタパスワードからサービスごとに異なるパスワードを自動生成するのが簡単な対策ですよね。 プログラマなら（もしくはコマンドライン操作に慣れているのなら）、こんな感じでできるかなーと思います。 $ perl -MDigest::HMAC_SHA1 -wle 'print Digest::HMAC_SHA1->new($ARGV[0])->add($ARGV[1])->b64digest' "my-master-password" example.com Mau83v+ml6dRViOZhcRdHM0NXzY $HMAC 関数にマスターパスワードとサービスのドメイン名を食わせて、その出力をサービス専用のパスワードにす
iptablesで鉄壁？の守りを実現する3つのTips｜TechRacho by BPS株式会社
iptablesでサーバを守るときに知っておくと良いことを3つ紹介します 1. 接続回数を制限する(IPアドレスごと) hash_limitを使います これにより特定ホストからの大量アクセス、DoS攻撃を緩和することが可能です 例 2. 接続回数を制限する(サービスごと) limitを使って制限します これにより多数のホストからの攻撃、DDoS攻撃を緩和します limitを使った制限は全ホストが等しく制限を受けるため、ssh等に設定すべきではありません。 （攻撃を受けている間は自分たちも制限されるため） Webサーバが大量アクセスで落ちそうな場合は使えるんじゃないでしょうか？ 例 3. 接続IPアドレスを限定する IPアドレスの国別割り当てをAPNIC等から取得してコマンドを作ります この手のルールは長くなるので、ユーザー定義チェインにしたほうが見やすくなります 例 あとはこんな感じのスク
第1回 情報セキュリティーの変遷
情報セキュリティーにおける脅威の大きさは「意図×能力(技術)」、「意図×能力(技術)×周辺環境」などと表現される。一般に情報セキュリティー上の脅威というと、攻撃する能力(技術)が注目されがちだが、攻撃者の意図や周辺環境も脅威を計る上で大きな要素になってくる。約10年間で攻撃者の意図およびITインフラ環境も大きく変化し、情報セキュリティーの位置付けも変わってきた。 表1は2001年から2012年までの攻撃の傾向や情報セキュリティーに関する政策・制度面の動き、組織のセキュリティー対策の位置付けなどを三つの時期で分類したものである。各々の時期に契機となる法律・制度の制定、当時の実情を表す象徴的なセキュリティー事件が発生していることが見て取れる。また、攻撃者像や意図、セキュリティー対策の位置付けについても変化してきている。以降、三つの時期の特徴について紹介する。 ネットワークウイルスの全盛期（20
webアプリを作ったら、必ず確認するべきセキュリティのチェックリスト | Web活メモ帳
個人情報の漏えいは企業に取ってリスクの一つですが、 2011年では約628万4000人の漏えい事故が発生しています。 1日あたりに換算すると1.7万人の個人情報が流出しています。 その中にはバグやセキュリティホールから、不正アクセスによるものまで数多くありますが、 自分で作成したアプリケーションで出来る限りリスクを減らすために、どのようなチェックをすれば良いか知っている必要があると思います。 最近はWordPressやCakePHPなどのオープンソースのものを使うのが主流になっていますが、セキュリティ実装、チェックの仕方が分かっていないと 脆弱性のあるアプリケーションを作る事になってしまいます。 そこでオススメなのが、どんな攻撃をされるのかを知ること。 そのためにはWEB上の細切れの情報を読むのではなく、体型的にまとめられたものを見るのが オススメです。 PHPで開発している方は、以下の書
Webアプリの脆弱性を検出するツールはありますか？
MSDNフォーラムで表記の質問を見かけました。同フォーラムの活動実績がないせいか、回答にリンクを貼ると拒否されましたので、こちらに回答します。 ここからが質問なのですが、プログラムの実装が完了したあと、脆弱性が潜んでいないかをチェックする必要があるのですが、脆弱性を検出するツールなどがありましたら教えてください。できれば、無償で使える物で、環境にあまり依存しないもの(Windows Serverのバージョンや、DBMSの種類に依存しないもの）がよいです。 Webアプリの脆弱性を検出するツールはありますか？ 以下、回答です。 ご要望の条件をすべて満たすツールは、おそらくないと思います。 少し古いエントリになりますが、以下のブログにWebアプリケーションの脆弱性を調べるツールがまとめられています。 サーバ/Webアプリケーション脆弱性チェックツールの個人的まとめ（フリー/有償） 良い物は高価、
Gmailの乗っ取りを防ぐ「2段階認証」を設定する方法 | AppBank
AppBank の主任です。 Gmail のアカウントが乗っ取られると、そのアドレスで登録したウェブサービスに不正アクセスされる可能性が増えます。 例えば Gmail のメールアドレスを Amazon のユーザー ID として使っていれば、勝手に商品を購入される恐れがあります。 アドレス帳や送信履歴を使い、被害を広げるワナを仕込んだメールやスパムメールを送ることもあるので、被害は自分だけに留まらないこともあります。 そこで今回は Gmail や Google アカウントの乗っ取り・ハッキングを防ぐ、2段階認証の設定方法をご紹介します。 2段階認証とは？ 通常のログインに必要なのは「ユーザー ID とパスワード」だけですが、この場合は ID やパスワードを推測したり、盗めば他人もログインできます。 こうした ID とパスワードのみの1段階認証には限界があり、認証作業をもうひと段階増やした「2
今夜分かるSQLインジェクション対策 ― ＠IT
【関連記事】 本内容についてのアップデート記事を公開しています。あわせてご確認ください（編集部） Security&Trustウォッチ（60） 今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた http://www.atmarkit.co.jp/fsecurity/column/ueno/60.html Webアプリケーションに対する攻撃手法の1つであるSQLインジェクションの存在は、かなり広く知られるようになった。しかし、その対策はまだ本当に理解されていないように思える。フォームから渡された値の特殊文字をエスケープしたり、PHPのmagic_quotes_gpcといった自動エスケープ機能をオンにするだけで対策したつもりになっていないだろうか。 基本はもちろん、セカンドオーダーSQLインジェクションやマルチバイト文字を利用したSQLインジェクションの攻撃パターンや、その対
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webクローリング＆スクレイピングの最前線 公開用
http://japan.internet.com/webtech/20130528/1.html
受け入れテスト用セキュリティチェックリスト for Webアプリケーション
skipfish web application security scanner