ITに強いはずのハイテク企業で、1億人超の個人情報が流出…… 「新技術こそ優れている」という思い込みが招いた大規模事件
連日さまざまなサイバーセキュリティ犯罪のニュースが報じられる中、いまだに日本のセキュリティレベルは高いとは言えない状況にあります。一方で、企業がサイバーセキュリティ対策を進める上では、人材不足や経営層の意識・関心、コスト、導入による利便性の低下など、さまざまな壁が立ちはだかっています。 そこで今回は、株式会社網屋が主催する「Security BLAZE 2023」より、サイバーセキュリティのエキスパートによる講演をお届けします。本記事では、米金融大手で1億人以上の個人情報が漏えいした事件の背景をひもときながら、問題点とセキュリティ対策のポイントを解説します。 Webセキュリティの第一人者が語る、個人情報流出事件の裏側 徳丸浩氏：ただいまご紹介いただきました、EGセキュアソリューションズの徳丸でございます。本日は「米国金融機関を襲った個人情報大規模流出事件の真相」というテーマでお話をさせてい
SOCアナリストによるWAF解説 | 技術者ブログ | 三井物産セキュアディレクション株式会社
今回は、WAF(Web Application Firewall)についてご紹介したいと思います。 WAFの解説サイトは多くありますが、WAFは、理論としては分かっていても、実際に触ってみないと具体的にどういったものなのか分かりづらい製品かと思います。弊社のWAFを検討されているお客様からも「WAFとIPSの違いがいまいち分からない」といった声をよく頂きます。 そこで、 WAFの具体的な仕組み、製品の種類/特長、チューニング、WAFの効果について、 SOCベンダーの観点も交えてご紹介します。 WAFの対象範囲 まずは一般的な説明からとなってしまいますが、Webアプリケーションを外部からの攻撃から守るためのセキュリティ製品は、主に、ファイアウォール、IPS、WAFが挙げられます。それぞれ、役割・対象範囲が異なっています。 図1.各機器の対象レイヤー/プロトコル例 ファイアウォールは、機能とし
本物のウェブアクセスログを使用した、機械学習による異常検知(全データ/ソースコード公開)
おまたせしました この度、ついにこの記事を完成させることができました。これは私が数年前からずっと書きたいと思っていた、ウェブのアクセスログに対する、機械学習を使った異常検知の実例です。私は事あるごとに(※1)「情報セキュリティ分野でもデータサイエンスの技術は非常に重要だ」と繰り返していますが、この記事の内容はまさにその1つの証となると思います。この記事で示される内容を見れば、「うわ、機械学習、マジでヤバイい(語彙力)んだな...」となるでしょう。以下に心当たりのあるセキュリティエンジニアはぜひ読んで、そして実践してみてください。 機械学習に興味はあるものの、どこから手を付ければよいのかイメージがわかない 本当にAIやデータサイエンス、機械学習がセキュリティの分野で役に立つのか、確信がもてない データサイエンスや機械学習は難しそうだと思っている ログ解析において、grepや単純な統計処理より
ScutumAPIリリース記念 第二弾 詳細な防御ログをAWSで自動取得してみた。 - セキュアスカイプラス
はじめに こんにちは、研究開発の宇田川です。 前回のブログでは、防御ログ（リスト）をAWSを使って自動取得する方法を公開させていただきました。 ScutumAPIリリース記念！防御ログをAWSで自動取得してみた。 第二弾は、AWSサービスを利用して詳細な防御ログの自動取得する方法を公開させていただきます。 ちなみにもっと早く公開する予定でしたが、書き始めてから構成を変更すること3回。そして、結構な長文になってしまいました… 斜め読みでもいいので目を通していただければ幸いです。 防御ログ（詳細）とは 防御ログ（詳細）について説明する前に防御ログ（リスト）で取得できる情報をおさらいします。 防御ログ（リスト）で取得できる要素を表にすると下記の通りとなります。 検知又はブロックした攻撃の集計する場合はこれで足りると思いますが、リクエストどこに攻撃が含まれているかを分析したい場合は、リクエストのメ
ScutumAPIリリース記念！防御ログをAWSで自動取得してみた。 - セキュアスカイプラス
はじめに こんにちは、研究開発の宇田川です。 2020年11月2日にScutumのログを取得できるAPIがリリースされました！ https://www.scutum.jp/information/technical_articles/api.html ScutumのログをSIEMへの取り込みや分析で使用したいと考えていた方々には待望のリリースなのではないでしょうか。 私自身も楽しみにしていた機能追加であり、リリース前にScutumAPIを試用する機会をいただきました。 今回のブログではその時に試したAWSサービスを利用した自動取得する方法を共有させていただきます。 Scutum APIについて まず、ScutumAPIについて、簡単に説明します。 ScutumAPIの事前準備 ScutumAPIにアクセスするためには、APIキーが必要になります。 APIキーはScutumの管理画面で発行で
シグネチャ依存型のWAFは避けよう
はじめに 先日、とあるScutumを利用中のお客様からうれしいフィードバックを頂きました。 「ウェブサーバをオンプレからクラウドに移した際に、WAFを(一時的にScutumをやめて)そのクラウドにメニューとして用意されていたWAFに切り替えてみたところ、誤検知が多発して本当に苦労した。Scutumがいかに楽なのかが実感できた」というものです。そのお客様はその後、そのクラウドのWAFから、再びScutumに戻ってきてくれました。 最近では著名なクラウドサービスにメニューとしてWAFがあるようですが、私が知っている範囲では、それらの多くは「シグネチャ」あるいは「ルール」を使って攻撃を見つけようとする種類のWAFのようです。本ブログではこれらの「シグネチャあるいはルールのみによって防御を行う」タイプのWAFを、「シグネチャ依存型」のWAFと定義します。 シグネチャ依存型のWAFは2020年という
高度なコマンドインジェクション攻撃とその対策
はじめに ScutumはフルマネージドなWAFサービスなので、利用しているユーザさんが気づかない間にどんどん変化し、防御能力を強化しています。これらの強化された点について、これまではあまり宣伝や周知を行っていなかったのですが、今後は少しずつ、このブログでお知らせしていこうと思っています。 防御を強化しているポイントはマニアックな細かなものから重要なものまで多岐に渡ります。今回紹介するのは、我々としてはかなりインパクトがあると考えているものです。 2019年の秋に、コマンドインジェクションに対する防御能力を強化しました。コマンドインジェクションといっても普通のものではなく、比較的最近になって知られるようになった、「WAFを回避する」種類のコマンドインジェクションです。 WAFを回避するコマンドインジェクション 攻撃者とWAFの間では互いに「見つからないように」「見逃さないように」というイタチ
AWS WAFを完全に理解する ~WAFの基礎からv2の変更点まで~ | DevelopersIO
こんにちは、臼田です。 皆さん、WAFWAFしてますか？(挨拶 今回はタイトル通りAWS WAFを完全に理解するための情報を全部詰め込んだブログです。長いです。 そもそもWAFってなんだっけ？という話から初めて「全部理解した」と言えるようになるまでをまとめています。直近AWS WAF v2がリリースされたため、この変更点を中心に機能の説明をします。 Developers.IOではWAFを扱った記事がたくさんあるので、細かいところはブログを引用します。いわゆる元気玉ブログです。 おさらい的な部分も多いので変更点が気になる方は適当に飛ばしてください。 そもそもWAFとは AWS WAFの前にWAFの話をします。WAFはWeb Application Firewallの略でWebアプリケーションを保護するためのソリューションです。 一般的なWebアプリケーションに対する攻撃手法としてSQLインジ
オリジンIPの特定によるクラウド型WAFのバイパス
オリジンIPの特定によるクラウド型WAFのバイパス May 27, 2019 昨年末に「How i was able to pwned application by Bypassing Cloudflare WAF」を読んで、CloudflareのWAFをバイパスする方法とそれがバグバウンティで認定された事例を知った。記事を書いた@vis_hacker氏は調査に「CloudFlair」というツールを使用しており、このツールを開発した@christophetd氏も同様の方法で報奨金を獲得していた¹。 Cloudflareに限らずクラウド型WAFのバイパスは2016年頃には既に話題になっており、論文も書かれていた²。2013年のBlackHat USAではDDoS保護のバイパスとして発表され³、DDoS保護サービスを提供するベンダーが注意喚起を行なっている⁴ ⁵。脆弱性として興味深かったので詳
AWS WAFでセキュリティを強化、AWS WAF設定方法を徹底解説 | Atlas Developers Blog
はじめに どうもこんにちは、会員管理システムSMOOSYの開発・運用を担当している大橋です。アトラスが提供しているサービスのほとんどはAWS(Amazon Web Services)を使っていて、私が運用担当になってからAWSの様々なサービスを触り始めました。アトラスではAWS WAF(Web Application Firewall)を使って自社サービスの安全性を保っています。この運用方法をざっくり言うと、AWS WAFで検知した怪しいアクセスがアラートとしてSlackに通知され、そして我々がそのアラートをキャッチし、適切に対応するという流れです。 これらを1つの記事に記載するとかなり長くなってしまうので、今回はまずAWS WAFおよびその設定方法を徹底解説します。 WAFとは WAFという言葉にまだ馴染みがない方もいらっしゃるかと思うので、WAFについて簡単に説明します。WAFとはWe
IPレピュテーションでウェブアプリへの攻撃は防げるか - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】
はじめに IPレピュテーションはIPアドレスそのものの信頼性をスコアリングし共有する手法で、主にスパムメール対策において使われてきました。しかし近年では(他社さんの)WAFがウェブアプリケーションへの攻撃を防ぐためにIPレピュテーションを利用する、というケースが増えてきたように感じます。 筆者は、あくまで個人的な感覚としてですが、「IPレピュテーションはウェブの攻撃検知・防御では役に立たないだろう」と思っていたのですが、今回これを客観的に評価してみることにしました。 何を調べるか？ IPレピュテーションというのは要するに「一度(あるいはそれ以上)悪さをしたIPアドレスは、次から許さないぞ」というアプローチです。つまりあるIPアドレスからの最初の攻撃に対しては無力ですが、一度攻撃を見つけたら、次からはそのIPアドレスからの攻撃を防ぐことができる、ということになります。 そのため調べるべきなの
AWS WAFとLambda@edgeで理想のフルログはできるのか - セキュアスカイプラス
はじめに はじめまして、事業開発部と研究開発部に属している宇田川です。 AWS関連の新機能や新サービスに都度都度熱狂しておりますが、最近もっとも熱狂したニュースはこちら。 AWS WAF の包括的なログ記録機能が新たに利用可能に 早速、調査！ だが、しかし、POSTリクエストのBodyは記録されず… 私が欲しい理想のフルログは、POSTリクエストのBodyのデータも出力されているログ。 で無ければ、AWS WAFで検知したとしても、正常な検知なのか誤検知なのか判断できません。 駄目なのか。。。 諦めかけていたそのとき、希望の光 Lambda@Edgeでrequest bodyが取得可能となりました！！ Global Data Ingestion with Amazon CloudFront and Lambda@Edge そこで思い立つ AWS WAFとLambda@edgeをCloudF
「Sapporo.aws 第2回 AWSごった煮」にてAWS WAF導入で学んだことをお話しました #sapporoaws | DevelopersIO
この度、Sapporo.awsというイベントに「AWS WAF導入で学んだこと」を共有したくお話させて頂きました。 資料 参考資料 私自身がAWS WAFを利用する際に参考にさせて頂いた一部ブログをご紹介させて頂きます。 AWSでWAFを導入する理由と最適な選択 「AWS Black Belt Tech Webinar 2015 ‐ AWS WAF」レポート AWS CLIがAWS WAFとALBの関連付けをサポートしていたので試してみた AWS CLIで構築するAWS WAF環境 LambdaでAWS WAFのsampleログを取得してS3に保存する 最後に 今回、AWS WAFについて私が感じたことをお話させて頂きました。 AWS WAFは使用できるようになることで皆様の心に少しでも余裕が出来ると思いますので、 ぜひ一度でもお手に取ってもらいまして使い勝手を見て頂くと良いと思います。
忙しい人のための Use AWS WAF to Mitigate OWASP’s Top 10 Web Application Vulnerabilities メモ - Qiita
忙しい人のための Use AWS WAF to Mitigate OWASP’s Top 10 Web Application Vulnerabilities メモAWSAWSWAFOWASP_Top_10 こんにちは、ひろかずです。 2017年7月に「Use AWS WAF to Mitigate OWASP’s Top 10 Web Application Vulnerabilities」が公開されました。 日本語翻訳されていないので、なかなか読めていない方もいると思います。 リリースから少し時間が経ってしまいましたが、読了したので一筆書きます。 どんなドキュメントか OWASP Top10 で上っている各項目についての解説と、各項目についてAWS WAFでどのような対応ができるかを記載したもの。 Conditionを作る上でのアドバイスも記載されている。 参照ドキュメント Use A
ペンタセキュリティのクラウドブリック、米国の中小企業庁NSBWの公式スポンサーに選定ㅣWebハッキング遮断サービスおすすめ
データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社 （日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人）は、クラウド基盤のWebハッキング遮断サービスであるクラウドブリック(Cloudbric、www.cloudbric.co.kr)が5月1日から7日までの一週間にわたって行われた米国の「全国小企業週間(National Small Business Week、NSBW)」で公式スポンサーに指定されたことを明らかにししました。 1963年から歴代アメリカ大統領は、毎年全国小企業週間(National Small Business Week)を指定し、中小企業を広報する様々なキャンペーンを行い、米国経済の発展に貢献した中小企業の功労を認めていました。米国の中小企業庁(
AWS WAFの導入｜ハンズラボ株式会社
戦闘員の吉田です。 （eb後半ネタ、必ず書くので少々お待ちください。。。） 先日、JAWSーUGのイベントで Security-JAWS というイベントが開催されました。 Security-JAWS 【第1回】2016年5月17日(火) 最終的に、参加待ちが100名近くなったと話を聞きました。 それだけ皆さんセキュリティに対して関心を持っているのだということですね。 そんなセキュリティ関連のサービスが、2015年10月にリリースされました 【AWS発表】新サービス: AWS WAF そう、AWSが提供するマネージドWAF、AWS WAFです。 AWSがとうとうWAFを出した！と、一時盛り上がったものの、WAFを使った、使っている、AWS WAFに関連した記事というのは実はあまり見かけません。 ハンズラボのコーポレートサイトにはAWS WAFが導入されています。 コーポレートサイトにWAFを
Webアプリケーションファイアウォール（WAF）を使ってみよう！ | クラホスブログ ～BIGLOBEクラウドのイベント・セミナー・事例・技術系TIPSをご紹介します～
← BIGLOBEクラウドホスティングの１年を振り返る はじめまして、WAF担当の下田です。 2011年はサイバー攻撃による大規模な情報漏えい事故が多発しました。特に深刻な攻撃として注意が必要なのが、SQLインジェクション等のWebアプリケーションの脆弱性を突いて、ID、パスワード、電話番号、クレジットカード番号などの情報を抜き取ろうとする攻撃です。 BIGLOBEクラウドホスティングでは、こういった攻撃を検知・防御するセキュリティオプションとして「WAF」を提供しています。今回はこのWAFについて詳しく説明します。 WAFとは？ WAFとはWebアプリケーションファイアウォール(Web Application Firewall) の略で、SQLインジェクション等のWebアプリケーションの脆弱性を利用した攻撃を検知し、防御するセキュリティ製品です。一般的なファイアウォール(またはIDS/I
新入社員のためのWAF(Web Application Firewall)入門 | DevelopersIO
佐々木です。クラスメソッドも4月から新しい仲間が増えました。今日はWAF(Web Application Firewall)の基本的な知識を整理してみました。 基礎知識 WAFとは WAF(Web Application Firewall)とは、Webアプリケーションの脆弱性を狙う悪意ある通信(攻撃)から、Webアプリケーションを保護するものです。本来論で言えば、Webアプリケーションに脆弱性があるのであればWebアプリケーションを修正するのが正しい対応です。しかし未知の脆弱性があったり、修正コストが大きくWebアプリケーションでの対応が難しい場合や、緊急度が高くすぐに防御しなければならないが修正が間に合わない場合も、残念ながらあります。ユーザーとWebアプリケーションの間にWAFを入れることで、悪意ある通信を防ぐことが出来ます。 ファイアウォールとは ファイアウォールは、IPヘッダやTC
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ほんとうに大事なサービスを守れるのか！？ 実運用に向けてAWS WAFを検討してみた
セキュリティ対策してる？ WAFを導入しセキュアにWordPress構築 on Azure