本文の内容は、2021年3月9日にÁlvaro Iradierが投稿したブログ(https://sysdig.com/blog/dockerfile-best-practices/)を元に日本語に翻訳・再構成した内容となっております。 Dockerfileのベストプラクティスのクイックセットをイメージビルドに適用することで、セキュリティ問題を防ぎ、コンテナ化されたアプリケーションを最適化する方法を学びます。 コンテナ化されたアプリケーションやマイクロサービスに精通している人なら、自分のサービスがマイクロサービスであることに気づいているかもしれません。しかし、脆弱性の検出、セキュリティ問題の調査、デプロイ後の報告や修正など、管理のオーバーヘッドがマクロな問題になっています。 このオーバーヘッドの多くは、セキュリティをシフトレフトし、開発ワークフローの中で可能な限り早く潜在的な問題に取り組むこ

ProductSecurityImproving the developer experience for Dependabot alertsToday, we’re shipping improvements to Dependabot alerts that make them easier to understand and remediate. At GitHub, we believe in providing developer-first experiences to help you keep your code secure. Since we launched Dependabot alerts nearly four years ago, we’ve alerted users on over 425 million potential vulnerabilities

サイバー・グリッド・ジャパン ICT利用環境啓発支援室の高橋です。 「サイバーセキュリティって何？」と小学生から聞かれたら、説明できますか？ いきなりこんな質問をされると、多くの人が戸惑ってしまうのではないでしょうか。またサイバーセキュリティの仕事をしている人でも、準備をしていないと小学生が分かるレベルで説明することは難しいと思います。 そこで、「多くの人にサイバーセキュリティについて知ってもらいたい」「サイバーセキュリティに興味を持ってもらいたい」「将来のサイバーセキュリティの担い手を増やしたい」という目的で、サイバーセキュリティに関わる仕事について分かりやすく紹介する『サイバーセキュリティ仕事ファイル 1 ～みんなが知らない仕事のいろいろ～』（以下、サイバーセキュリティ仕事ファイル）を制作しました。 サイバーセキュリティへの理解はどのくらい？ サイバー攻撃による被害は、毎日のようにテレ

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

2021/4/23 追記 Twitter にて指摘を頂いたので追記。 詳細は当該ツイートを読んで頂きたいが、プリフライトリクエストを CSRF 対策として用いるのは適切ではないという内容。 この記事に書いた仕組みや挙動そのものが間違っているわけではないのだが、プリフライトリクエストはそもそもセキュリティのための機能ではない。 そして、詳しくは記事の続きを読んでほしいが、プリフライトリクエストが発生するということは、HTTP メッセージのやり取りが 1 回増えるということなので、パフォーマンス上、望ましくない。 代替案がないならともかく、リクエストのオリジンをチェックすれば対応できるのだから、敢えてプリフライトリクエストを利用する必要はない。素朴に書けば以下のようになるだろうか。 const ALLOW_ORIGIN = `http://localhost:${constants.SPA_P

サマリ2020年2月にGoogle ChromeはCookieのデフォルトの挙動をsamesite=laxに変更しましたが、2022年1月11日にFirefoxも同様の仕様が導入されました。この変更はブラウザ側でCSRF脆弱性を緩和するためのもので、特定の条件下では、ウェブサイト側でCSRF対策をしていなくてもCSRF攻撃を受けなくなります。この記事では、デフォルトsamesite=laxについての基礎的な説明に加え、最近のブラウザの挙動の違いについて説明します。 （2022年1月29日追記） 本日確認したところ、Firefoxにおけるデフォルトsamesite=laxはキャンセルされ、従来の挙動に戻ったようです（Firefox 96.0.3にて確認）。デフォルトsamesite=lax自体は先行してGoogle Chromeにて実装されていましたが、細かい挙動の差異で既存サイトに不具合が

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「ログイン機能」の実装パターンをいくつか示し、その「仕様の中で起きうる脆弱性」とその対策について解説していきます。 「ログイン機能」はToB、ToC問わず多くのWebアプリケーションで実装されている機能で、XSSやSQL Injection、Session Fixationといったような典型的な脆弱性の観点については、なんらかの解説を見たことのある方も多いと思います。 しかし、「仕様の脆弱性」というのはあまり多く語られていない印象です。今回はそのようなタイプの脆弱性についての解説を行います。なお、IDaaSを用いずに自前でログイン機能を実装しているケースを複数パターン想定しています。 はじめに ログイン機能の仕様パターンとセキュリティ

■概要 2022年01月04日に、幼稚園から高校、大学向けのWebサイトのデザイン、ホスティング、コンテンツ管理ソリューションを115か国、8,000以上の学校に提供しているアメリカのSaaSプロバイダーであるFinalsite社がランサムウェアの被害に遭いました（公表は06日）。そして、同日、ホストしていた学校のWebサイトにアクセスできなくなったり、エラーが表示されるという事象が発生。Finalsite社のコミュニケーションディレクターであるMorgan Delack氏によるとランサムウェアへの感染がそれらの事象の直接的な原因ではなく、顧客データを保護するために積極的にシステムをオフラインにし、それによって約5000の学校のWebサイトがオフラインなるとのことでした。この件に関して、Finalsite社は、特設ページ（Finalsite ransomware incident comm

久しくブログは書いていなかったのですが、元気をもらったので書いてみようと思います。 minihardening.connpass.com 4/21 に メルカリさんの会場を借りて開催された MINI Hardening Project #3.2 に参加してきました。 Hardeningとは Hardening（ハードニング）とは、「衛る技術」の価値を最大化することを目指す、全く新しいセキュリティ・プロジェクト （Hardening Project 2019 | Web Application Security Forum - WASForum より）ということで、CTFとは異なった観点のセキュリティ技術を学べるイベントのことです。 脆弱性のあるアプリケーションやサーバーを渡され、競技時間の間、攻撃者（運営）からのアタックを防ぎ、可能な限りサービス継続を維持することが目標となります。 侵入さ

2013年の「Cookieless Monster: Exploring the Ecosystem of Web-based Device Fingerprinting」によると、Alexa のアクセス数Top1万のサイトのうち、4%のサイトがFingerprintに関する技術を用いていることが示されました。また、2014年の「The Web Never Forgets: Persistent Tracking Mechanisms in the Wild」では、Alexa のアクセス数Top10万のサイトのうち、5.5%のサイトがFingerprintに関する技術を用いており、今後も増えていくことが予想されます。 では、Fingerprintとは一体どのようなものなのでしょうか？Fingerprintのそもそもの語源は、英語で「指紋」という意味ですが、Web上では「Webサイト利用者の

GitHub Advisory DatabaseのRSSフィードがなかったの作りました JSON FeedとAtomフィードを出力しています。 基本的にはJSON Feedをメインにしてますが、SlackがJSON FeedをサポートしてなかったのでAtomを追加しました。 RSS Feeds for GitHub Advisory Database GitHub Advisory Databaseは、脆弱性のデータベースでRubyとかGoとかnpmとかRustとか言語ごとの脆弱性が集まっています。また、GitHub自体がセキュリティアドバイザリーの仕組みを持っているので、外部の脆弱性データベースにないものとかもあります。 About GitHub Security Advisories - GitHub Docs JavaScriptだとnpm auditとかはこのデータベースを参照した

お知らせ 2024.4.23 掲載施策 「公衆Wi-Fi提供者向け セキュリティ対策の手引き」、 「公衆Wi-Fi利用者向け 簡易マニュアル」、 「自宅Wi-Fi利用者向け 簡易マニュアル」を更新しました。 2024.3.29 経営層向けコンテンツ「事例で学ぶサイバーリスクマネジメント～経営トップがすべきこと 実践編」 講座②「適正なROI（投資対効果）を実現するサイバーリスクマネジメント」、講座③「強固なセキュリティを体現する企業風土の醸成」を公開しました。 2024.3.14 経営層向けコンテンツ「事例で学ぶサイバーリスクマネジメント～経営トップがすべきこと 実践編」 講座①「自社だけでなく「事業」を守る：強靱なサプライチェーンの構築」を公開しました。 2024.3.14 サイバーセキュリティ月間コラム「Capture The Flagの経験を生かす」前田 優人（株式会社サイバーディフ

こんにちは。NECサイバーセキュリティ戦略本部セキュリティ技術センターの鈴木です。突然ですが、URLに関する“ホモグラフ攻撃”や、それらを利用してURLをミスリードさせる攻撃をご存知でしょうか？あえてミスリードするようなURLについては正式な名前の定義が無いと思われますので、本ブログでは便宜上「ミスリードURL」と記述します。これは主に正規URLと見分けが難しい文字列で偽装したURLのことを指します。 昨今はフィッシング攻撃の件数増加など脅威が増しているため、今回はそのテクニックの1つである「ミスリードURL」とそれを実現する手法の1つである「ホモグラフ攻撃」について事例等を踏まえて解説をしたいと思います。 2020年に、Googleとイリノイ大学アーバナ・シャンパーン校の共同研究の論文 [1]が発表されました。この論文の中にはミスリードURLについてどの程度の誤認識が発生するかという観点

1. はじめに 最近わけあってNodeのセキュリティ調査をしているのですが、今年の5月に開催された North Sec 2018 でセキュリティ研究者の Olivier Arteau 氏による 「Prototype pollution attacks in NodeJS applications」という面白い発表を見つけました。 この発表の論文や発表資料、デモ動画などもgithubで公開されていますし、ちょうどタイミングよくセッション動画も最近公開されました。 github.com Olivier Arteau -- Prototype pollution attacks in NodeJS applications この発表で解説されているのは、悪意のある攻撃者が、JavaScript言語固有のプロトタイプチェーンの挙動を利用して、Webサーバを攻撃する方法です。 発表者は、npmからダ

ランサムウェアを用いた攻撃は、一台から数台の端末の感染被害から、業務停止を引き起こす大規模な感染被害に至るものまでさまざまです。本FAQでは、企業や組織の内部ネットワークに攻撃者が「侵入」した後、情報窃取やランサムウェアを用いたファイルの暗号化などを行う攻撃の被害に遭った場合の対応のポイントや留意点などをFAQ形式で記載します。 JPCERT/CCでは、こうした攻撃を他のランサムウェアを用いた攻撃と区別し、「侵入型ランサムウェア攻撃」と呼びます。 ネットワーク内部の複数のシステムでファイルの拡張子が変わり開封できなくなった、自組織から窃取されたとみられるファイルを暴露する投稿が行われた、または攻撃者から通知が届いたなどの状況を確認している場合、この攻撃の被害を受けている可能性があります。被害に遭われた企業や組織のCSIRTおよび情報セキュリティ担当の方は、インシデント対応を進める上での参考

Issue #1fuzzuf / PolicyGlass / syft / SpiceDB / OPA 等の気になったツールの動向と、年始のマーケットの動向についてざっくばらんについて紹介します。 あけましておめでとうございます。もっと楽にセキュアなプロダクト開発/運用を実現できるようにしたい米内（@lmt_swallow）です。「あまり難しいことを考えずに、日ごろ目にしたものの中で気になったプロダクトセキュリティ関連動向を発信してみるか」という気持ちになったので、これからほぼ週一で Security Engineering Weekly と題して気になった情報をまとめていきます。この記事はその記念すべき第一弾です。 今回は fuzzuf / PolicyGlass / syft / SpiceDB / OPA 等の気になったツールの動向と、Money Forward 様における Poli