「Apache Killer」登場 - 広範囲に渡って多大な影響 | エンタープライズ | マイコミジャーナル
The Apache Software Foundation provides support for the Apache community of open-source software projects. Apache HTTPサーバを運用している管理者は向こう数日間、かなり悩ましい状況に置かれる可能性がある。Full DisclosureにおいてApache HTTPサーバをリモートから攻撃してクラッシュさせるコードが公開されてしまったからだ。執筆段階ではこの脆弱性に対応したApache HTTPサーバはまだ公開されていない。 今回のセキュリティ脆弱性の発見は、問題を解説する前に実際に攻撃するスクリプトが投稿されてしまった点に事の重大さがある。とても簡単なスクリプトでほかの言語で実装しなおすことも難しくない。この攻撃を実施されるとApache HTTPサーバはメモリを消費し続け、
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
このドメインは お名前.com から取得されました。 お名前.com は GMOインターネットグループ(株) が運営する国内シェアNo.1のドメイン登録サービスです。 ※表示価格は、全て税込です。 ※サービス品質維持のため、一時的に対象となる料金へ一定割合の「サービス維持調整費」を加算させていただきます。 ※1 「国内シェア」は、ICANN(インターネットのドメイン名などの資源を管理する非営利団体)の公表数値をもとに集計。gTLDが集計の対象。 日本のドメイン登録業者(レジストラ)（「ICANNがレジストラとして認定した企業」一覧（InterNIC提供）内に「Japan」の記載があるもの）を対象。 レジストラ「GMO Internet Group, Inc. d/b/a Onamae.com」のシェア値を集計。 2023年5月時点の調査。
Web-based DNS Randomness Test
2023-06-01: This service has been deprecated in favor of Check My DNS. US-CERT's Vulnerability Note VU#800113 describes deficiencies in the DNS protocol and implementations that can facilitate cache poisoning attacks. The answers from a poisoned nameserver cannot be trusted. You may be redirected to malicious web sites that will try to steal your identity or infect your computers with malware. Wor
Firesheep の仕組みを調べてみました | tanablog
Firesheep の仕組みについて調べてみました。一言で言うと「ARP スプーフィング」のツールでした。 Firesheep とは何か と、その前に Firesheep の前知識に関してはこちらをお読みください。 ARP スプーフィングとは何か 普段私たちが利用しているパソコン、ニンテンドー DS などの通信機器は、インターネットに繋がるためにまず、インターネットへの最初の入り口 (ルータ) を探しに行きます。 そのルータを探す際に、ネットワーク内の全ての通信機器に ARP というプロトコルで「ノック」をします。「ノック」をして返事が返ってきた通信機器がルータになりますので、その後は、ルータを介してインターネットに繋がることができます。 ARP スプーフィングは、本来「ノック」を返すべきではない通信機器が「ノック」を返してしまう技術 (攻撃) です。つまりは、ルータになりすますということ
文字コードに起因する脆弱性とその対策
4. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿などを開始 – 2004年にKCCS社内ベンチャーとしてWebアプリケーションセキュリティ事業を立ち上げ • その他 – 1990年にPascalコンパイラをCabezonを開発、オープンソースで公開 「大学時代のPascal演習がCabezonでした」という方にお目にかかること
第2回 memcachedのセキュリティと脆弱性 | gihyo.jp
memcachedを安全に運用するポイント 2010年8月10日のスラッシュドット・ジャパンにて「Memcached に潜むセキュリティホール」としてmemcachedの脆弱性に関する記事が上げられました。記事の内容をまとめると以下の2点となります。 bit.ly や Globworld、Gowalla といったサイトではインターネットから memcached へのアクセスが可能であった アクセスしたmemcached上にユーザーのログイン ID / パスワードが格納されており参照可能だった http://slashdot.jp/security/article.pl?sid=10/08/10/0052240 ここには2つの問題があったと考えます。1つ目はmemcachedをインターネットから接続可能な状態で設置してしまったこと、もう1つはキャッシュ上に置かれている必要はなさそうなパスワー
2010年7月22日 穴だらけのディストロでセキュリティを学べ! ─Damn Vulnerable Linux | gihyo.jp
Linux Daily Topics 2010年7月22日穴だらけのディストロでセキュリティを学べ! ─Damn Vulnerable Linux 予期せぬ攻撃から身を守るにはどうしたらよいのか、という問いにはさまざまな答えがあるだろうが、ひとつの有力な手段として“攻撃者の気持ちになって行動する”というものがある。どこを突けば相手は嫌がるのか、どんなふうに叩けば崩れるのか、といった視点でとにかく対象物（者）の弱点を徹底的にチェックし、確実に攻める。逆に言えば、弱点をほったらかしにしている状態は、外部に対して「どうぞワタクシを攻撃してくださいな」と公言しているようなものである。 セキュリティの世界でも、攻撃者の気持ちになって攻撃パターンを学び、そこから脆弱性への対処を学ぶという手法はよく取られる。たとえばGoogleは、Webプログラマのためにセキュリティ的に非常に脆弱なWebアプリケー
サイトを公開する際に最低限抑えておきたい Apache の設定 | バシャログ。
こんにちは nakamura です。最近トルシエさんテレビ出すぎじゃありません？ウィイレヤロウヨ。オフサイドダヨ！ さてさて今回は意外と知られてないけど、サイトをインターネットに公開する際には知っておいた方が良い Apache の設定をいくつかご紹介します（一部 PHP の設定もありますが）。この設定をしていないからといって即危険にさらされるという訳でもありませんが、リスクの芽は摘んでおくに越した事はありませんよね。 無駄な HTTP ヘッダを返さない ディストリビューションにより異なるかもしれませんが、CentOS デフォルトの設定の場合 Apache が返してくる HTTP ヘッダは以下のようなものです。 HTTP/1.1 200 OK Date: Mon, 05 Jul 2010 01:01:14 GMT Server: Apache/2.2.3 (CentOS) X-Powered
Ruby On Rails ピチカート街道 - Rails 2.0・その１２(CSRFを勝手に防止) -
2024.02 « - - - - - 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 - - - - - - » 2024.04 CSRF (Cross-Site Request Forgery) を勝手に防止してくださいます。 CSRF とは簡単に言うと、ある特定のURLがDBに挿入したり更新したりすると仮定します。そして、そのURLにアクセスしまくってDBの値を変えまくることです（だと思う・・・）。 script/generate scaffold した時点で、もう既に対応済みになっていて何もすることはありませんでした。 じゃあ、どこで設定されているか、というと、app/controllers/application.rb をご覧ください。 protect_from
国民のための情報セキュリティサイト サイトマップ
▼ 情報セキュリティについての知識 ▽ はじめに ▽ インターネットと情報セキュリティの基礎知識 ▽ インターネットって何？ ▽ 情報セキュリティって何？ ▽ プライバシーって何？ ▽ ウイルスって何？ ▽ 情報セキュリティ関連の法律 ▽ 用語辞典 ▽ 事故・被害の事例 ▼ 利用方法に応じた情報セキュリティ対策 ▽ エンドユーザー：小学生／一般利用者 ▽ ホームページ開設者：プロバイダ利用者／自設サーバー利用者 ▽ 企業・組織：社員・職員全般／情報管理担当者／組織幹部 ▼ 利用方法に応じた情報セキュリティ対策-実践編 ▽ エンドユーザー：小学生／一般利用者 ▽ ホームページ開設者：プロバイダ利用者／自設サーバー利用者 ▽ 企業・組織：社員・職員全般／情報管理担当者／組織幹部 ▼ その他の関連情報
Cisco IOS のセキュリティ向上のための基本設定
Cisco IOS のセキュリティ向上のための基本設定 Cisco IOS のセキュリティ基本設定Cisco IOS はデフォルトの状態だと、セキュリティが甘いため、 実運用前に基本的なセキュリティ向上の設定を行うのが普通です。 外部との接続の無い、企業のイントラに使用するのならまだ良いのですが、 インターネットとの接続性がある場合は、やっぱりセキュリティ対策は しっかりと行っておきたいところです。 Cisco のサイトにもセキュリティ向上のための設定一覧を紹介している ページがあるのですが、情報がちょっと古かったり。 http://www.cisco.com/japanese/warp/public/3/jp/service/tac/707/21-j.shtml no service tcp-small-servers no service udp-small-servers とかって、
第28回 あまり語られないセキュリティの基本 ── トラストバウンダリ | gihyo.jp
何事も基本が一番大切です。システム開発／コンピュータプログラミングも同じく基本が大切です。基本を守らないシステム設計やコーディングは問題発生の原因となる可能性が高いことは経験上理解できると思います。 セキュリティ対策の基本も非常に大切ですが、何故か基本はあまり語られていません。今回は安全性確保の基本中の基本を紹介したいと思います。 あまり語られない核心 正しいセキュリティ対策を行うには、セキュリティ問題の原因を理解する必要があります。 セキュリティ対策の記事などでは個々のセキュリティ問題に対する具体的な原因と対策が紹介されていることが多いです。私のブログも含め個人ブログなどでは「こういう場合はこうする」といった簡単な対処例が紹介されることが多いです。例えば、「SQLインジェクション対策にはプリペアードクエリだけを使えば大丈夫」などです。 読者の方もセキュリティ対策はどうすればよいのか、具
最強のパスワード管理ツール5選！ | ライフハッカー・ジャパン
ネット中心に発展していく世界において、増え続けるのがパスワードと呼ばれる文字の羅列ですが、簡単すぎてもセキュリティが危ういし、難しすぎると忘れてしまうし、となかなか良いバランスを見つけ出すのが大変です。今回は、パスワード管理のお手伝いをしてくれる便利なパスワード管理ツールを5つほどご紹介！ 全てのアカウントなどに同じパスワードを使うと確かに楽ですが、これは危険極まりない行為です。逆に、全てのアカウントのパスワードを違うもの、かつ強力なものにしてしまうと、常人の頭脳ではとても覚えきれる数ではないかと。 パスワード管理ツールとは「少ないパスワードの使い回し」と「自分でも覚えられない複雑すぎるパスワード」の絶妙なバランスを保つことを目的としてこの世に誕生したツールなのです。下記の5つのツールは強力なパスワードを設定し、かつ、それらを管理する、という正義の味方のようなツールです。 ■KeePass
ファイアウォール機能
はじめに 動的なフィルタリング 不正アクセス検知 コマンド仕様 関連文書 1. はじめに この文書では、ファイアウォール機能について、特に動的なフィルタリングと侵入検出の機能について、仕様と使い方を説明します。一般に、ファイアウォールの機能にはVPNやNATが含まれることが多いようですが、これらの機能については既存の別の文書で扱うものとします。 2. 動的なフィルタリング 2.1. 概念 従来のフィルターは、定められた設定にしたがって、いつも同じ動作をするという意味で「静的」だと言えます。静的なフィルターでは、通信を制御するためのドアは常に開いているか、常に閉じています。基本的にはドアの開閉は設定によって決まり、途中で開いたり閉じたりするものではありません。 これに対して、動的なフィルターでは通信の状態に応じてドアが開閉します。具体的には、通信が始まったらドアを開け、通信が終了したらドアを
【Linux小技】 scp(ssh)での暗号化方式の違いによる転送速度ベンチマーク 「知ったかブログ」
目的 ホスト間のファイルのコピーは、セキュリティの問題もあってscpやsftpは普通で良く使うのですが、特に大きなファイルを転送しようとすると、同じギガビットイーサネットスイッチに二つのホストを繋いでいてもなぜか50MB/sくらいしかなりません。何か設定がおかしいかといろいろ試したのですが、ftpで転送すると普通に100MB/s出ることから、どうやらssh側の制限らしいことまでは突き止めました。 色々調べていくと、今のsshの場合は送信時に暗号化方式をいくつか選択することができ、暗号化方式によっても転送速度が異なるようです。たぶん暗号化と復号にCPUを使っているからでしょうか。 理屈はまあ脇に置いておいて、取り急ぎは暗号強度は無視して転送速度を確認したいです。というわけで、暗号方式の違いによる転送速度を比較してみました。 ssh暗号化方式の変更方法 一言でいえば、 # scp -c [暗号
aguse.jp: ウェブ調査
あやしいサイトや知らないサイトを訪れる前に、URLを入力するだけでサイト背景情報を調査したり、迷惑メールの送付経路を表示したりすることが出来ます。
誤報訂正:『2010年に最も警戒すべきセキュリティ脅威は「DNSリバインディング」』報道について - ockeghem's blog
computerworld.jpは3月17日に『2010年に最も警戒すべきセキュリティ脅威は「DNSリバインディング」』と題した記事を公開したが、一部誤報があるので訂正する。 米国White Hat Securityの研究者らがまとめた2010年版の深刻なセキュリティ脅威トップ10では、DNSリバインディングが1位となった。同社では、2006年から毎年、脅威トップ10を発表している。 http://www.computerworld.jp/news/sec/177029.html 当初、この記事を読んで違和感を覚えた。DNSリバインディングという攻撃手法そのものは以前から知られているものであるし、この記事で説明されている脅威の内容についても、以前から知られているものと違わない。このタイミングでなぜ、DNSリバインディングがもっとも警戒すべきなのか。このため、この記事の裏を取ってみようと思っ
ヤフーのセキュリティに対する取り組みについて 第2回目
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、R＆D統括本部 開発推進室 セキュリティプラットフォーム技術の戸田 薫です。 セキュリティプラットフォーム技術の取り組みについてご紹介します。 「ヤフーのセキュリティに対する取り組みについて 第1回目」で「アプリケーションを開発するときには、既知の脆弱性を意識して行わなければなりません。」と述べたことについて、ヤフーがどのように取り組んでいるかについてご紹介いたします。 ◆セキュアなシステムを構築するために 安全に利用できるシステムを構築するためには、知識や技術がなければなりません。 そのためにヤフーでは 1：教育 2：アプリケーションのセキュリティ対策 3：ソースコードレビュー 4：脆弱性テスト 5：セキュリティチェ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
推測の困難なパスワードを設定してもWindowsのスクリーンロックが数十秒で強制解除される？
United States
