Oktaが無料のパスワードマネージャ「Okta Personal」を公開
ID管理サービスや認証サービスなどを提供しているOktaが、個人向けのパスワードマネージャ「Okta Personal」を公開しました。 Okta PersonalはWebブラウザのプラグインなどと組み合わせて利用することで、Webサイトごとのパスワードの自動生成、パスワードの保存、ログイン時のIDとパスワードの自動入力などを行ってくれます。 現在ではソーシャルメディアから業務アプリケーションまで、多数のWebサイトにログインして利用することが一般的になっています。 このとき、推測されにくい十分な長さを持つ複雑なパスワードをWebサイトごとに重複しないように使い分けようとすると、現実的には記憶に頼るだけでは難しく、メモを取っておくなどパスワードを確実に記録しておく手段が必要となります。 一般にパスワードマネージャは、こうした推測されにくいパスワードの自動生成と安全な保存、そしてログイン画面
女子高生ハッカーによる、攻撃手法から学ぶセキュリティ入門【CV内田真礼】｜paizaラーニング
※本講座に使われている技術、攻撃手法は実際のものであり、本講座外での外部サイト への攻撃は不正アクセス禁止法に抵触し、取り締まり対象となりますのでご注意ください。 ※この物語はフィクションです。実在の団体や人物と一切関係はありません。 「攻撃手法から学ぶハッカー入門」は、誰もがホワイトハッカーになれるよう、 ハッカーの攻撃手法を実際に試しながら学べる世界初のセキュリティ講座です。 SQLインジェクションやXSS（クロスサイトスクリプティング）など、 知っているが実際に試したら捕まってしまう、 Webアプリケーションの脆弱性に対するハッキング手法を、 仮想実行環境を利用し実際にハッキングと対策方法を試しながら セキュリティ対策が学べる画期的な講座です。 転職・就活情報から未経験向け求人や動画学習まで、IT／WEBエンジニアに特化した総合求職・学習サイト「paiza（パイザ）」。 プログラミン
Webセキュリティ腕試しサイトを無償公開 | News | 三井物産セキュアディレクション株式会社
三井物産セキュアディレクション株式会社（本社：東京都中央区、代表取締役社長：鈴木大山、以下 MBSD） は、Webセキュリティに関する腕試しサイト「MBSD Secu-cise (セキュサイズ)」を2023年4月24日より無償で一般公開しました。 Webアプリケーションを開発した経験のない初心者の方や、腕に自信がある方、セキュリティに興味のある方など、自身のWebセキュリティに関する技術力を確かめるために無償で利用することができます。腕試し結果はスコアで表示され、他の参加者のスコアと比較することができます。 ■MBSD Secu-ciseの概要 MBSD Secu-ciseはクラウド上に構築された環境となっており、インターネット経由で誰でも参加することが可能です。課題は全7問あり、課題の内容はWebアプリケーション診断の実案件で発生した事象を題材にしています。 ■開発者の想い この度公開さ
【サイバー攻撃白書 2018年度攻撃分析レポート発表】「攻撃遮断くん」で検知した攻撃ログ数は約１億件超企業規模を問わないサイバー攻撃の検知を観測
株式会社サイバーセキュリティクラウド（本社：東京都渋谷区、代表取締役：大野 暉、以下「サイバーセキュリティクラウド」）は、2018年のサイバー攻撃の実情についてまとめた、「サイバー攻撃白書2018」を発表いたします。 「サイバー攻撃白書」とは、Webサイトへのサイバー攻撃を可視化・遮断するクラウド型WAFの「攻撃遮断くん」で観測した攻撃ログを集約し、分析・算出した調査レポートです。本レポートを公開していくことで、各業界の企業に対してサイバーセキュリティに関する意識喚起を行ってまいります。 ■「2018年度 サイバー攻撃白書」概要 -調査対象期間 ：2018年1月1日（月）～2018年12月31日（月） -調査対象 ：「攻撃遮断くん」をご利用中のユーザーアカウント -調査方法 ：「攻
対岸の火事ではない、ディノス・セシールを襲った新型リスト攻撃
フジ・メディア・ホールディングス子会社で通販大手ディノス・セシールが新たな手法によるサイバー攻撃の被害に遭った。同社は2018年6月2日にWebサイト「セシールオンラインショップ」が不正アクセスを受け、4日後の6月6日に顧客情報が流出した可能性があったと公表した。 手口は「リスト攻撃（リスト型アカウントハッキング）」の一種だ。リスト攻撃とは、サイバー攻撃や闇取引など何らかの手段で入手した、攻撃対象のWebサイトのユーザーIDとパスワードの一覧（リスト、パスワードリストとも）を使って、機械的にログイン試行を繰り返し、不正ログインを試みるものだ。ログインできたら個人情報を盗んだり、ポイントを金品に換えたりする。 今回、ディノス・セシールを襲ったのは、より巧妙さを増した「新型リスト攻撃」と言えるものだった。結果的に不正ログインが成功したのは490人にとどまったものの、セキュリティ関係者には波紋が
日本では知られていない海賊版の新潮流 | p2ptk[.]org
日本のオンライン海賊版の歴史をふり返ると、時代時代にさまざまなトレンドがあった。Warezに始まりNapster、WinMX、Winny、Share、BitTorrentなどのP2Pファイル共有、YouTubeやニコニコ動画などのストリーミングプラットフォーム、そしてMegauploadやRapidshare、Rapidgator、Uploadedなどのサイバーロッカーへ。 日本でも昨年10月にリンクサイト「はるか夢の址」の運営者や投稿者が摘発され、サイバーロッカーへの注目（というか圧力）が高まっている。ただ、海賊版の世界を観察していると、サイバーロッカー型の海賊版はすでに過去のものになりつつある。たとえば、サイバーロッカー自体の人気は2012年のMegauploadの閉鎖前後にピークアウトし、根強い人気のBitTorrentですら下降の一途を辿っている。 Rapidshare、Megau
![日本では知られていない海賊版の新潮流 | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/919af180a771ba2db3ad22d8866e081e9511bdac/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2018%2F01%2FMarooned_close_up_t.jpg)
OWASP Dependency Checkを、Vulsと連携して表示させる - IDCF テックブログ
こんにちは。Vuls Slackチーム辺りをうろうろしている、井上と申します。 MORIO Dojoは白帯のままです(そろそろ青帯になりたい)。 某SNSでは、脆弱性情報やセキュリティインシデントを追いかけています。 近年、セキュリティ業界でも「シフトレフト」が叫ばれています。 「テストなどの工程を、プロジェクトライフサイクルのより速い段階で実施する」というアプローチです。 セキュリティに関しても同様で、リリース前にテストをすることで、リリース後のセキュリティ対応負荷を軽減することができます。 今回は、WEBアプリケーションの依存ライブラリの脆弱性を検査する OWASP Dependency Checkを利用して、WEBアプリケーションリリースのシフトレフト、を目指します。 OWASP Dependency Checkとは OWASPとは、2015年の資料によると以下のように説明されていま
小規模サイト管理者向け�セキュリティ対策マニュアル
小規模サイト管理者向け セキュリティ対策マニュアル はじめに インターネットの普及と共に、セキュアな環境を求める声が多くなって きました。しかし残念なことに、どのような脅威があり、 その脅威から守 るためにどのような方法があるのかといったことはあまり知られていま せん。特に、小規模サイトにおいては、 専任の管理者を配置すること ができない等の理由により、 セキュアなサイトを構築し維持することは 難しいという声もあります。しかし、大規模サイトであっても小規模サイト であっても、 行わなければならないことの根底は違いがありません。ま た、これまでの攻撃や侵入の例から、 その大半は既存の手法によって 行われることがほとんどです。このことから、サイトの規模に関わらず重 要なことは次の事柄となります。 1. 2. 3. 本書では、小規模サイトを対象として、 脅威の例やサイトの構築方 法などをとりあげ
ニュース - Web制作会社の迷惑メール送信は放置されたWordPressが原因：ITpro
Webデザインを請け負うアリアファームは2017年4月4日、管理するWebサーバーが改ざんされ、大量の迷惑メールを送信していたと発表した。Webサーバー上で使っていたコンテンツ管理ソフト「WordPress」の脆弱性が悪用されたとみている。 同社の鹿野 幹雄社長によれば、Webサーバーを構築していたレンタルサーバーサービスを提供するエックスサーバーから、「迷惑メールを送信しているのでアカウントを停止した」と通知を受けて、攻撃が発覚。該当サーバーを調査したところマルウエアが見つかり、ロシアと思われるIPアドレスからの大量のアクセスがあった、としている。 悪用されたと思われるWordPressのバージョンは4.3.1で、2015年9月に公開されたもの。同社は複数のWebサーバーで「WordPress」を使い、定期的にアップデートしていたが、一部のサーバーがアップデート対象から漏れていた。該当サ
Azure Web Application FirewallがGAへ
Microsoftは2017年3月30日(現地時間)、Microsoft Azure上のWebアプリケーションを外部からのサイバー攻撃から保護する「Azure Web Application Firewall(WAF)」がGA(一般提供版)に達したと、公式ブログで報告している。WAFはアプリケーション層にあたるネットワーク層レイヤー7に位置し、ロードバランサー側でSSL認証を行うSSL Terminationなどの機能を提供する。保護対象は以下のとおりだ。 ・SQLインジェクション ・XSS(クロスサイトスクリプティング) ・コマンドインジェクションなどの一般的な攻撃 ・HTTPプロトコル違反 ・HTTPプロトコル異常 ・ロボットやクローラー、スキャナー ・Apacheなどの構成ミスによる攻撃 ・HTTPサービス拒否 特にアプリケーションのセキュリティ的不備を利用し、想定しないクエリを実行
当社WEBサイトへの不正アクセスについて（セキュリティ対策実施済） 3/24 | お知らせ | JINS - 眼鏡（メガネ・めがね）
2017年3月24日 お客様各位 当社WEBサイトへの不正アクセスについて このたび、株式会社ジェイアイエヌ（東京本社：東京都千代田区、代表取締役社長：田中仁）が運営するJINSオンラインショップ( https://www.jins.com/ )に対する不正アクセスが3月22日（水）に確認されました。 お客様および関係者の皆様に多大なるご心配とご迷惑をお掛けいたしますこと心よりお詫び申し上げます。 記 １．不正アクセスの状況 アプリケーションフレームワークであるApache Struts2の脆弱性を利用した第三者による不正アクセスが発生し、調査の結果、当該第三者が一定期間、個人情報にアクセスできる状況にあったことが判明しました。詳細については引き続き調査しております。 ２．不正アクセスへの対応状況
target="_blank" のセキュリティリスク(デモ動画あり)
HTMLを勉強する際に最初に覚えるものの1つにa要素(タグ)があります。HTMLのアイデンティティと言っても過言ではない、ハイパーリンクを実現する大事な要素です。 href属性に設定されたリンク先のURLをどのウィンドウ等に表示するかを決めるtarget属性というものがあります。任意の値を設定してウィンドウに名前を付ける事で、複数のa要素から同じウィンドウへリンク先URLを表示する事もできますし、常に新しいウィンドウを開く_blankのような、あらかじめ挙動が設定されている値もあります。 target="_blank" のセキュリティリスク リンクの開き方を決定するtarget要素ですが、この挙動を利用してリンク先からリンク元のウィンドウを操作できるというセキュリティリスクが公開されています。 Target="_blank" - the most underestimated vulner
脱Adobe/Adobe 代替のためのソフト＋α (2017/2/06更新)
脱Adobeのためのソフトと関連しそうなソフトまとめです。 たぶん国内のまとめでは一番多く(また多機能)のソフトを紹介してるのでは？ Adobeの代替を探してる方や学生さんに参考にしていただければ幸いです。(あくまでも、趣味の範囲やお金のない学生向けです。可能ならAdobeでまとめたほうが情報も多いし、ソフト間の連携もシームレスになるのは言うまでもなく。) 基本無料か(性能・機能のわりに)安価なものです。 有名だけどあまり優秀でないと思ったものは記載してないものがあります。(ex, Pixa、Sai、Paint.net、MMD等) 各カテゴリのとなりの()はAdobeではどのソフトかを表します。 対応OSはWindowsかLinuxのみです。 Macを私は持ってますがあまり好きでないのと、ほかの方にあまりお勧めできない(主にスペック面で)ため載せてません。 今回はCADについてはまとめませ
パスワードリセット・リンクが漏れていませんか？ | POSTD
セルフサービス・パスワードリセットは、多くのWebアプリケーションで共通部分になっています。通例、パスワードリセット・リンクはユーザにEメールで送られ、そこには、何らかの方法でユーザを識別する一意のトークンが含まれています。ユーザがリンクをクリックすることによって、そのユーザがそのアカウントに関連するEメールをアクセスできることが証明され、次にユーザは二段階認証を行います。この時点で、ユーザは新しいパスワードを入力するよう求められます。 もしも、ある攻撃者がそのパスワードリセット・リンクにアクセスできたなら、その攻撃者は、そのユーザとして認証を受けて新しいパスワードを入力することができるので、そのユーザのアカウントに自由にアクセスできるようになります。多くの場合、攻撃者はユーザのEメールへのアクセスを手に入れることによってこれを行いますが、最近私は 多くのアプリケーションがうかつにもパスワ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性診断を通じて見えてくるWebセキュリティ
[PDF]WEB予約サービス不正アクセスに関する調査報告書（解析編） | 2018年3月28日 九州商船株式会社
独自の悪性サイト情報を、ネットワーク機器に自動取込可能な形式で提供（NTT Com） | ScanNetSecurity
クラウド型Web脆弱性診断ツール「VAddy」
なぜ自社で脆弱性診断を行うべきなのか
フィッシング対策協議会 Council of Anti-Phishing Japan | ニュース | 協議会からのお知らせ | 【注意喚起】 SHA-1 SSL / TLS サーバ証明書に対するエラーや警告表示について （2017/01/06）公開のお知らせ