社内で毎週公開してるセキュリティコンテンツ3ヶ月分を公開します【2020年4月〜7月】 - Qiita
はじめに 普段はWeb開発を生業としている おりばー(@oliver_diary) です。 今年の4月から情報処理安全確保支援士として、社内のセキュリティ向上に努めているのですが、その取り組みの一つとして社内Slackに毎週セキュリティトピックを公開しています。 毎週続けて3ヶ月が経過しましたが、社内だけに閉じておくのは勿体ないと思ったので、記事としてまとめて投稿します。みなさんのセキュリティ意識向上の助けになればと思います。 またセキュリティ研修用に使用したアプリケーションの記事も公開しているので、そちらも併せてご覧ください。 Gitの脆弱性（2020/04/23） みなさん、既にバージョンをあげている方もいると思いますが、Gitにとても深刻な脆弱性が発見されました。 http://www.security-next.com/114201 https://github.com/git/g
An update on our security incident
Last updated on July 30, 2020, at 5:45 PM PT with new sections below on “What we know now” and “What we’re doing to protect our service”. ---------------------------------------------------------------------------------------------------------- July 30, 2020 As our investigation continues, we’re sharing an update to answer some of the remaining questions based on what we’ve discovered to date. We
昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性についての報告書を取りまとめました （METI/経済産業省）
経済産業省は、大企業から中小企業まで、サプライチェーンの弱点を狙ったサイバー攻撃が顕在化・高度化していることを踏まえ、昨今のサイバー攻撃の特徴や具体的事例を整理するとともに、今後の取組の方向性を取りまとめました。この取組の方向性に基づき、サプライチェーン全体のサイバーセキュリティ対策を具体化すべく、産業界等の関係者との調整に着手してまいります。 1．経緯 2020年1月以降、国内の複数の企業が高度なサイバー攻撃を受けていたことが明らかとなり、また、サイバー攻撃により、企業情報が流出した可能性がある事例も続いています。 経済産業省は、こうした状況を重く受け止め、1月31日に、「昨今のサイバー攻撃事案を踏まえた注意喚起と報告のお願い（以下「報告の依頼」という。）」を発出し、各産業団体を通じて、機微情報を保有する企業に対し、各社のセキュリティ対策の点検や、サイバー攻撃による重要な情報の漏えい等の
NURO光はセキュリティ的にやばいって話 (安全に使うための方法) - Qiita
要約 NUROひかりのHGWはデフォルトでIPv6ファイアウオール機能が 無効 または 未搭載 の可能性がある ので、そのまま使うと家庭内LANがインターネットから見えちゃうからちゃんと設定か対策して使おうぜって話。 このドキュメントの対象とする人たち 何も考えずに速度が速いだけでNURO光を使っている、「いんたぁねっとが何かよく分かっていない」人向けです。 ネットワークやセキュリティを理解していて、自分のルータでセキュリティを維持しつつ使える！って人には全く関係ない話なので気にしなくていいです。読まなくていいです。 IPv6 と IPv4 のセキュリティ ここでは IPv6 と IPv4 のアドレスが割り当てられたPCやスマホとかがインターネットからどう見えるのか？について説明します IPv4 の場合 一般的にIPv4アドレスは1契約につき1アドレスが付与され、それをルータ呼ばれる機器を
サービスの統制を保証する「SOC2」の概要をざっくりまとめてみた | DevelopersIO
オペレーション部の江口です。7月1日に入社してはや半月余りが経ちました。ようやく会社の雰囲気にも慣れ、少し落ち着いてきた感があります。 さて、今日はクラスメソッドの認証の取り組みについて少しご紹介です。 当社ではお客様に安心してお付き合いいただけるよう、様々な認証を取得しています。 クラスメソッド 各認証ポリシー その一環として、昨年より当社サービス「クラスメソッドメンバーズ」に対して SOC2の評価を受け、保証報告書を受領しています。 クラスメソッド、内部統制を評価したSOC2 Type1 保証報告書を受領〜AWS支援サービス「クラスメソッドメンバーズ」のサービス体制を強化〜 ところでこのSOC2というのは、いったいどのようなものでしょうか。 上記のリンクでも"「セキュリティ」「可用性」にかかる内部統制のデザインを外部監査人が評価したもの" と簡単に解説は書いてありますが、自分の勉強がて
Amazon S3 セキュリティベストプラクティスの実践（権限管理のポリシー) – 前編 | Amazon Web Services
Amazon Web Services ブログ Amazon S3 セキュリティベストプラクティスの実践（権限管理のポリシー) – 前編 はじめに AWS では、サービス毎にセキュリティのベストプラクティスを公式ドキュメントとして提供しています。本記事では AWS を利用したシステムのセキュリティの検討や実装に関わる皆様を対象に、AWS の代表的なストレージサービスである Amazon Simple Storage Service (S3) を題材にとりあげて、公式ドキュメントで紹介しているベストプラクティスの実装方法をできるだけ具体的に解説したいと思います。 IT セキュリティにおいては、一つの脆弱性や悪意がセキュリティ事故に直結しないようにシステムを多層的に保護する事が重要です。AWS においても、サービスが提供する機能を適所でご利用いただければ多層化されたセキュリティ保護策を、クラウ
Data Catalog のポリシータグで BigQuery カラムレベルのアクセス制御が可能になったので試してみた | DevelopersIO
こんにちは、みかみです。 これまで BigQuery のデータのアクセス制御を指定できる最下層のリソースはデータセットで、テーブルやカラム単位でのアクセス制御はできませんでしたが、Data Catalog のポリシータグを付与することで、カラムレベルのアクセス制御が指定できるようになったそうです。 BigQuery の列レベルのセキュリティで、きめ細かなアクセス制御を ｜ GCP ブログ Introduction to BigQuery Column-level security ｜ BigQuery ドキュメント Restricting access with BigQuery Column-level security ｜ BigQuery ドキュメント やりたいこと BigQuery のカラムレベルのアクセス制御を行うにはどうすればいいのか知りたい BigQuery のカラムレベルの
BigQuery アクセス権設定まとめ & グループ設計例 - Qiita
2021年時点でも、そこそこ参照されているため、BigQuery Advent Calendar 2021 25日目の記事としてアップデートします。 BigQuery リソースのアクセス権設定は難しいですが、データ資産の保護と活用のバランスを自由に設計できます。組織に合わせたアクセス権をうまく設定 & 設計して、データ資産を活かしていきたいですね。 本稿では、アクセス権の設定方法と、叩き台になりそうな具体的な設計例について述べます。 アクセス権の設定方法 BigQuery リソースのアクセス権設定にあたり、覚えておく軸は 3 つです。 具体的な人間やアカウントを示すプリンシパル、権限範囲の対象（プロジェクトやデータセット）を示す対象レイヤ、具体的な一つ一つの権限、これらをおさえておけば、BigQuery の権限設定は安心です。 プリンシパルは Google アカウントを筆頭に 7 種類 以
AWS におけるマルチアカウント構成の動向 - 理系学生日記
AWS で環境を構築する際はマルチアカウントになることが多い、これは理解していたつもりでした。 stg 環境と prod 環境は AWS アカウントごと分ける。dev 環境も分ける。 しかし、世の中のベストプラクティスはもっと先を行っていました。 なぜアカウントを分けるのか isolation authz & authn auditing and reporting 世の中のマルチアカウント構成 各企業の事例 AWS が提供するベストプラクティス Gruntwork から見た AWS ベストプラクティス 各社のプラクティスから読み取れること なぜアカウントを分けるのか AWS アカウントを分ける理由は 3 つあります。 isolation authz & anthn auditing and reporting isolation そもそもとして、環境は分離しないと、というものです。 st
Attack matrix for Kubernetes | Microsoft Security
Updated on May 10, 2021: An updated version of the threat matrix for containers is available here. Kubernetes, the most popular container orchestration system and one of the fastest-growing projects in the history of open source, becomes a significant part of many companies’ compute stack. The flexibility and scalability of containers encourage many developers to move their workloads to Kubernetes
Google Cloud の新しいプロダクト機能を活用してセキュリティを管理 | Google Cloud 公式ブログ
※この投稿は米国時間 2019 年 10 月 17 日に、Google Cloud blog に投稿されたものの抄訳です。 クラウド インフラストラクチャのセキュリティ確保に関する課題は尽きることがありません。クラウドから得られるあらゆるメリットを活用しながらも、オンプレミスのときと同様の視認性と管理力を維持する必要があります。たとえば、クラウドベースのサービスを導入すると、開発チームは短期間でサービスを構築して本番環境に移行することが容易になります。ところがそうすると、作るつもりのないシャドー IT が生まれ、どのようなサービスが稼働しているのか、そのサービスは安全なのかどうかがわからなくなってしまいます。 今回は Security Health Analytics のベータ版についてお知らせします。これは Cloud Security Command Center（Cloud SCC）
GCPにセキュアな踏み台サーバーを作成する
TL;DR GCPのIdentity-Aware Proxy(IAP)を利用すると、手軽かつセキュアに自宅などから踏み台サーバーへのアクセスを実現できます。加えてオンプレミスとGCPで拠点間VPNが構築できると、社外からGCPを経由してオンプレミスへセキュアにアクセス可能です。 昨今の状況を含め突発的な出来事により、社内にある環境に社外からアクセスする事が必要になるケースは無いでしょうか？ 今まではダイヤルアップ型のVPNを構築する、踏み台サーバー(要塞ホスト)を構築するといったやり方で解決が図られて来ましたがどちらのやり方もエンドポイント(VPN Gateway、踏み台サーバー)へのセキュリティ対策を綿密に行う必要があるため実装には多くのコストがかかります。 社外から社内へアクセスする際のイメージ今回はGCPを使ってセキュアかつ簡単に社内へアクセスできる環境を構築する方法をご紹介します。
BeyondCorp ゼロトラスト企業セキュリティ
BeyondCorp は、Google が実装したゼロトラスト モデルです。Google での 10 年に及ぶ経験を基に、コミュニティから寄せられた最善のアイデアやベスト プラクティスを加味して構築されました。ネットワーク境界で行っていたアクセス制御をユーザー単位で行うことで、従来のように VPN を介さなくても実質的にどこからでも安全に作業できるようになります。 BeyondCorp は、VPN を使用しなくてもすべての従業員が「信頼できないネットワーク」を通じて働けるようにする Google 社内のイニシアチブとして始まりました。BeyondCorp は、Google のコア インフラストラクチャと企業リソースに対するユーザーベースまたはデバイスベースの認証や認可を提供するサービスで、今ではほとんどの Google 社員が日常的に使用しています。
SP 800-207, Zero Trust Architecture | CSRC
Date Published: September 2019 Comments Due: November 22, 2019 (public comment period is CLOSED) Email Questions to: zerotrust-arch@nist.gov Author(s) Scott Rose (NIST), Oliver Borchert (NIST), Stu Mitchell (Stu2Labs), Sean Connelly (DHS) Announcement This draft publication discusses the core logical components that make up a zero trust architecture (ZTA) network strategy. Zero trust refers to an
BeyondCorp: A New Approach to Enterprise Security | USENIX
;login: Enters a New Phase of Its Evolution For over 20 years, ;login: has been a print magazine with a digital version; in the two decades previous, it was USENIX’s newsletter, UNIX News. Since its inception 45 years ago, it has served as a medium through which the USENIX community learns about useful tools, research, and events from one another. Beginning in 2021, ;login: will no longer be the f
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LeapTalk Dr. Muthusrinivasan on Uber Knowledge Graph
Binary Authorization | Binary Authorization | Google Cloud
Container Security
セキュリティ ブループリント: GKE での PCI | Cloud アーキテクチャ センター | Google Cloud
BeyondCorp: The User Experience