AWS 初心者向けWebinar 利用者が実施するAWS上でのセキュリティ対策AWS公式オンラインセミナー: https://amzn.to/JPWebinar 過去資料: https://amzn.to/JPArchive
インフラエンジニアじゃなくても押さえておきたいSSHの基礎知識 - Qiita
最近はクラウド上のサーバーを利用する事も多くなってきた。 サーバーの用意やネットワーク周りの設定はインフラ部門がやってくれるけど、アプリのデプロイ／設定は開発者がする事が多いので、開発メインでやってるエンジニアでも最低限SSHの知識は必要になる。 また、Vagrant等でローカル環境にVMを作成する事もあるので、ローカル環境内でSSHを使用するケースも増えてきた。 というわけでインフラエンジニアじゃなくてもSSHクライアントの知識は必須になってきているので、改めてSSHの再学習をしてみることにした。 SSHとは 暗号や認証の技術を利用して、安全にリモートコンピュータと通信するためのプロトコル。 SSHでは以下の点で従来のTelnetより安全な通信が行える。1 パスワードやデータを暗号化して通信する。 クライアントがサーバーに接続する時に、接続先が意図しないサーバーに誘導されていないか厳密に
【重要】glibcに関する深刻な脆弱性(GHOST)。今すぐ対策を : アジャイル株式会社
※Critical glibc update (CVE-2015-0235) in gethostbyname() calls によれば、以下で glibc ライブラリに依存するサービスをリストする事が可能との事。これらコマンドで影響範囲を確認した方がよさそうです。 $ sudo lsof | grep libc | awk '{print $1}' | sort | uniq 手順 AWS(EC2) いつものごとく AWS (EC2) における手順を以下に記載します。 yum でアップデート確認 sudo yum check-update 以下が更新対象になっていれば、更新を行います。( Amazon Linux ( 64版 ) の場合 ) glibc-common-2.17-55.93.amzn glibc-2.17-55.93.amzn glibc-headers-2.17-55.9
GHOST 脆弱性は如何様に使うのか | Webシステム開発／教育ソリューションのタイムインターメディア
先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言
IPアドレスで日本国外(海外/外国)からのアクセスを制限する.htaccess CGI's
日本に割り当てられているIPアドレスをAPNICより取得して、日本国外(海外/外国)からのアクセスを制限する（禁止する）.htaccessファイル又は一覧を作成します。 「IPアドレス表示」ボタンをクリックすると、日本への割り当IPアドレスの一覧が表示されます。 「.htaccessダウンロード」ボタンをクリックすると、日本へ割り当られているIPアドレスのみアクセスを許可する.htaccessファイルをダウンロードできます。 少し時間がかかります（数秒～数十秒程度）。 ブラウザやOSによって.htaccessをダウンロードするとファイル名の後ろに[1]と付いてしまったり、先頭のドットが消えたりするようです。その場合、お手数ですがサーバへ設置の際などファイル名を修正してください。 日本への割り当IPアドレスはAPNIC（アジア・太平洋地域のIPアドレス割り当てを行なう機関）にて現在公開してい
Test your server for Heartbleed (CVE-2014-0160)
If there are problems, head to the FAQ Results are now cached globally for up to 6 hours. Enter a URL or a hostname to test the server for CVE-2014-0160. This test has been discontinued in March 2019. You can use the open-source command line tool or the SSL Labs online test. All good, seems fixed or unaffected! Uh-oh, something went wrong: Check what it means at the FAQ. It might mean that the ser
Shodan
Search Engine for the Internet of Everything Shodan is the world's first search engine for Internet-connected devices. Discover how Internet intelligence can help you make better decisions. Sign Up Now Beyondthe Web Websites are just one part of the Internet. Use Shodan to discover everything from power plants, mobile phones, refrigerators and Minecraft servers. MonitorNetwork Exposure Keep track
今夜分かるSQLインジェクション対策 ― ＠IT
【関連記事】 本内容についてのアップデート記事を公開しています。あわせてご確認ください（編集部） Security&Trustウォッチ（60） 今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた http://www.atmarkit.co.jp/fsecurity/column/ueno/60.html Webアプリケーションに対する攻撃手法の1つであるSQLインジェクションの存在は、かなり広く知られるようになった。しかし、その対策はまだ本当に理解されていないように思える。フォームから渡された値の特殊文字をエスケープしたり、PHPのmagic_quotes_gpcといった自動エスケープ機能をオンにするだけで対策したつもりになっていないだろうか。 基本はもちろん、セカンドオーダーSQLインジェクションやマルチバイト文字を利用したSQLインジェクションの攻撃パターンや、その対
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
iptablesの設定(パケットフィルタリング): Vine Linux 自宅サーバー構築blog
パケットフィルタリングとは、サーバーに入ってくるパケットデータの許可・拒否などを制御することです。ファイアーウォール機能とも呼ばれます。 パケットフィルタリングツールであるiptablesを設定する事により不正なアクセスからサーバーを守ります。 まずは現在のiptablesのポリシー(方針)を確認します。 # iptables -L Chain INPUT (Policy ACCEPT) target prot opt source destination Chain FORWARD (Policy ACCEPT) target prot opt source destination Chain OUTPUT (Policy ACCEPT) target prot opt source destination ・Chain INPUT：入ってくるパケットの設定
Third Party Relay Check RBL.JP第三者中継チェック RBL.JP
This service will check your server to see if it is possible for a third party to relay mail from your server. This service will test several techniques for sending relayed mail, but no mail will actually be sent to your server. If your server passes all tests performed by this serivice, no relays accepted in blue will be dispayed at the bottom of the output report. If any or all of the tests f
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JSSEC 日本スマートフォンセキュリティ協会