新たなセキュリティサービス「ペネトレーションテストサービス」提供開始のお知らせ株式会社ポルト（本社：東京都千代田区、代表取締役社長：山﨑康平）は、このたび新たなセキュリティサービスとして「ペネトレーションテストサービス」を提供開始いたします。 背景 これまでも弊社では、ブラックボックステストで様々なプロトコルや技術要素に対応した診断プランとしてハイエンドプランを提供しておりました。このうち、近年企業のランサムウェア感染、情報漏洩やセキュリティインシデントが多発している状況を受け、安全性を可視化し、情報漏洩のリスクを低減するためのサービスとしてペネトレーションテストサービスを提供開始いたします。 昨今では、企業の情報資産の保護がますます重要となっており、ペネトレーションテストは、攻撃者視点からシステムの脆弱性を発見し、事前に対策を講じるために不可欠なサービスです。 本サービスを通じて、企業の

編集・発行元 独立行政法人情報処理推進機構（IPA） 発行日 2024年7月30日 サイズ ソフトカバーA4判 ページ数 264ページ ISBN ISBN 978-4-905318-80-4 定価 定価：2,200円（本体価格2,000 円＋税10％） 書籍概要 概要 情報セキュリティ白書2024 変革の波にひそむ脅威：リスクを見直し対策を IPAでは、「情報セキュリティ白書」を2008年から毎年発行しています。本白書は、情報セキュリティに関する国内外の政策や脅威の動向、インシデントの発生状況、被害実態など定番トピックの他、その年ならではの象徴的なトピックを取り上げています。 国内外の官民の各種データ、資料を数多く引用し、トピックを解説しており、情報の網羅性と参照性の高さが特長で、情報セキュリティ分野の全体把握が容易です。 「情報セキュリティ白書2024」における2023年度の情報セキュリ

こんにちは、虎の穴ラボ 採用担当白石です！ 2024/7/19(金) 19:00~開催された「サブカル業界Developers 勉強会Vol.7」のレポートを書いていきたいと思います。 今回のテーマは『日頃は聞けないサブカル業界の裏話！チームづくりと社内文化に迫る』ということで、各社のチームビルディングや企業文化についてセッションを行いました。 セッションはオンラインでも配信され、オフライン会場では懇親会も実施されました✨ ▼イベント概要についてはこちら subculturedev.connpass.com ▼アーカイブはこちら www.youtube.com 当日のタイムスケジュール 時間 内容 発表者 19:00～ オープニングトーク 虎の穴ラボ株式会社 19:05～ 「FigJam/Notionワークショップ in 新卒研修」の舞台裏 ピクシブ株式会社 19:30～ "The Tea

JTCのセキュリティマネージャのニキヌスです。 これまでの記事で事業会社におけるセキュリティ業務を紹介（※）してきました。 今回は、地味だが大変な「相談対応」の話です。 私が所属するセキュリティチームには、毎日、約2000人のIT部門メンバから大量の相談が届きます。 これを4～5名で対応していますが、中にはそちらに手を取られて自分のプロジェクトが進められなくなったり、労働時間が伸びてしまったりする人もいます。 相談をどう効率よくうまく捌くか？は意外と文章化されていないように思うので、これまでに身につけた自分のやり方を書いてみます。 セキュリティ相談とは 相談のゴール 相談対応の流れ 1. 相談内容の把握 2. 責任範囲の確認 3. 全体像の把握 4. 脳内簡易脅威モデリング 5. 論点の整理 6. 調整～回答 さいごに （余談）セキュリティ相談 今昔物語 ※セキュリティ業務に関する過去記事

徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ 徳丸が書いていないことを質問いただくことが時々ありますが、私が書いてないのは書きたくない理由があるから（単にめんどうくさいも含む）です。ですが、せっかく質問いただいたので、思うところを書いてみようと思います。 まず、私自身は広告ブロッカーを使っていないです。その理由は、広告ブロッカーには危険なものがある（原理的にあり得るし、過去にあった）からです。過去には、広告ブロッカーが元の開発者から売却され、マルウェア化した例が複数あります。具体例は示しませんが、検索するとすぐに見つけられると思います。 広告ブロッカーがマルウェア化すると、これらはブラウザアドオンの形で動くため、非常に強い権限があり、すべてのサイトの情

骨伝導イヤホンを常時着用は便利である。 しかし、勧めるには語るべきことが多い。 だからここに俺の知識をまとめることにした。 これを読めばいい 骨伝導イヤホンの基本 常時着用で運用 骨伝導が向かない状況 外がうるさい 音漏れ禁止 音質にこだわる 痛みがする 選び方とおすすめ Shokz OpenRun Pro Shokz OpenMove Shokz OpenComm 2 何でShokz製品しか紹介しないの？手先なの？ 骨伝導以外の選択肢 ブコメで人気なFreeClip 終わりに これを読めばいい 骨伝導イヤホンを使い始めて4年が経とうとしている。使い始めた当時はまだ珍しかったが、今ではかなり普及してきたと思う。実際、弊社でも着けている人をよく見るようになった。とはいえ、普通のワイヤレスイヤホンと比べると、使ったことのある人は少ない。 それゆえか、骨伝導イヤホンがどんなものかと質問されること

デジタルペンテスト部の北原です。 本日は、Windows OS への侵入に成功した攻撃者が管理者権限を奪取した後に悪用する、Token Stealing という手法について解説します。 要点 技術的な詳細に興味がない読者向けに、先に要点を書きます。 要点は以下の3点です： ログオンしている Windows OS の管理者権限の奪取に成功した場合、Token Stealing の手法により他のプロセスの実行アカウントの権限を借用できます。 Active Directory のドメインに参加している Windows OS の場合、他のドメイン端末で使用するアカウントで起動しているプロセスが存在すると、Token Stealing によりそのプロセスのアカウントの権限が借用できるため、攻撃者の侵入範囲の拡大につながります。ドメインに参加している端末の管理のために各端末にプロセスを実行する場合は、

はじめに こんにちは、CISO部の兵藤です。日々ZOZOの安全を守るためSOC業務に取り組んでいます。 本記事ではMicrosoftのDefender for Endpointを用いてAppleのmacOSに対してセキュリティ対策するTipsについて紹介します。 また、CISO部ではその他にもZOZOを守るための取り組みを行っています。詳細については以下の「OpenCTIをSentinelに食わせてみた」をご覧いただければと思います。 techblog.zozo.com 目次 はじめに 目次 背景と概要 前提知識 Microsoft Defender for Endpoint導入方法 macOSとWindowsでのDefender for Endpointの機能差分 macOSへのLive Response機能 Live ResponseのBashスクリプトの登録と実行 スクリプトのTip

はじめに現代のWebアプリケーションにおいて、ユーザが写真や動画などのファイルをアップロードする機能は、しばしば求められます。 本記事では、ファイルアップロードを実現するための一手段として、「署名付きURL」を利用した方式を取り上げ、その設計について詳しく解説します。 今回は、Amazon Web Services（AWS）を利用する前提のもと、このアプローチを探求していきます。 前半部分は署名付きURLをそもそもよく知らない方向けの導入部となっていますので、要点だけ抑えたい方は設計上のポイントから読まれることをお勧めします。 ファイルアップロードの実現方式パターン署名付きURLの話をする前に、ファイルアップロード機能をWeb APIとして実現する方式について、いくつか代表的なものを紹介します。 Pattern 1. multipart/form-datamultipart/form-da

ケビン松永 @Canary_Kun 大手SIerで15年間システム開発に従事し、現在は独立してITコンサルをやってます。零細法人経営者 | 意識高い系よりは尿酸値高い系 | 3児の父 | 大家クラスタ | 多重債務力167M、加重平均金利は197bp ケビン松永 @Canary_Kun 自分は情報安全確保支援士(登録セキスペ)も持っていて素人ではないんですが、セキュリティ脆弱性に対するサイバー犯罪については、もう心情的に白旗を上げてしまってます。 技術的には対策が打てたとしても、運用が追いつかない…。そんな気持ちを連ツイします。 x.com/yuri_snowwhite… 白”雪姫” @yuri_snowwhite 一応、セキュリティ担当としておおっぴらには言ってないことなんだけどたまにはきちんと言おうかな。 今回のSSHの件然り、カドカワの情報漏洩然りなんだけど、 1：定期的に脆弱性対応

6月に受けたサイバー攻撃がネット上でさまざまな反響を呼んでいるKADOKAWAグループは7月3日現在、セキュリティエンジニア職の求人を求人サイトに掲載している。同グループのインフラ開発・運用業務などを担う子会社・KADOKAWA Connected（東京都千代田区）の社員を募集。セキュリティエンジニア職の最大年収は800万円という。

こんにちは、PSIRTのWaTTsonです。 昨年の夏頃に、「Dependabot alertをSlackに通知して、トリアージ運用に役立てる仕組みを作ってみた」という記事を投稿しました： developers.freee.co.jp ここでは、新しく報告されたDependabot alertをSlackに通知し、Jiraチケットを作成してPSIRTメンバーをアサインし、トリアージを行って各開発チームのチャンネルにメッセージを送信する、という仕組みについて説明しました。 今回は、この中でPSIRTメンバーがトリアージをする時にどういう風なことをしているのかを書いてみたいと思います。 過去に私自身にアサインされた事例の中から1つ、具体例を挙げて見てみましょう。執筆に時間をかけてしまったせいでちょっと古い例ですが、2024年3月頃アラートが上がったにRDoc RCE vulnerability

デジタルペンテスト部の山崎です。 4月から「セキュリティ診断」の部署が「ペネトレーションテスト（ペンテスト）」の部署に吸収合併されまして、ペンテストのペの字も知らない私も晴れてペンテスターと名乗れる日がやってまいりました！（そんな日は来ていない😇） そんなわけで、新しい部署が開設しているブログのネタを探す日々を送っていたのですが、最近、Googleフォームの設定ミスによる情報漏えい事故が増えてきているようです。 どのような設定が問題となっているのでしょうか？ 同じような事故を起こさないよう、設定項目について見ていきたいと思います。 情報漏えいの原因となりうるGoogleフォームの設定について Googleフォームから情報漏えいとなっている事例を見てみると、大きく分けて以下の２パターンのいずれかが原因となっているようです。 １．表示設定で「結果の概要を表示する」が有効に設定されている ある

日本セキュリティオペレーション事業者協議会（ISOG-J）は5月24日、「脆弱性トリアージガイドライン作成の手引き」を公開した。