Security Certification Roadmap - Paul Jerimy Media
Update Plans July 3, 2024 – Paul Jerimy Here is a content update so you know this project is not dead. Sorry I’ve been silent for so long. I’ve been working on cyber education work related to NICE which has taken my focus. I continue to work on the Javascript version of this to make this more feature rich. In the meantime I hope these corrections, additions, and removals help shape your continuing
パスワード管理/MFA管理の戦略
自分のパスワードやMFA(多要素認証)の管理方法についてまとめた記事です。 パスワード管理とTOTP(Time-based One-time Password)の管理として1Passwordを使い、MFA(多要素認証)の2要素目としてYubiKeyを2枚使っています。 パスワード管理とMFA管理を安全で使いやすくするのはかなり複雑で難しいため、完璧にやるのが難しいです。 そのため、その難しさから二要素認証を設定するべきアカウントも手間などから設定を省いてしまったり、管理方法に一貫性がありませんでした。 この記事では、パスワード管理/MFA管理の戦略を決めることで、どのサイトのどのアカウントのパスワード管理をあまり頭を使わなくてもできるようにするのが目的です。利便性と安全性のバランスを意識はしていますが、この記事のやり方が正解ではないので、各自の目的に合わせて読み替えると良いと思います。 用
NTT Com、制御システムのセキュリティリスクを可視化・検知する「OsecT」を提供 | IT Leaders
IT Leaders トップ ＞ テクノロジー一覧 ＞ IoT／M2M ＞ 新製品・サービス ＞ NTT Com、制御システムのセキュリティリスクを可視化・検知する「OsecT」を提供 IoT／M2M IoT／M2M記事一覧へ [新製品・サービス] NTT Com、制御システムのセキュリティリスクを可視化・検知する「OsecT」を提供 2022年5月6日(金)日川 佳三（IT Leaders編集部） リスト NTTコミュニケーションズ（NTT Com）は2022年4月25日、制御システム向けセキュリティ管理サービス「WideAngle プロフェッショナルサービス OsecT」を提供開始した。工場の生産ラインなどを支える制御システムのセキュリティリスクを可視化・検知するサービスである。設定済みのセンサー機器をネットワーク上に追加で設置して使う。中小企業を中心に販売する。価格（税別）は月額6万
TLS 1.3を採用しSSL 3.0を禁止に IPAが「TLS暗号設定ガイドライン」の第3版を公開
TLS 1.3を採用しSSL 3.0を禁止に IPAが「TLS暗号設定ガイドライン」の第3版を公開：「順守項目だが設定が難しいサーバ」のために「推奨項目」を追加 IPAセキュリティセンターは、WebサーバでのTLS暗号設定方法をまとめた「TLS暗号設定ガイドライン」の第3版を公開。暗号技術評価プロジェクトのCRYPTRECが記載内容を第2版から全面的に見直した。 独立行政法人 情報処理推進機構（IPA）セキュリティセンターは2020年7月7日、WebサーバでのTLS暗号設定方法をまとめた「TLS暗号設定ガイドライン」の第3版を公開した。2015年以降のSSL（Secure Socket Layer）／TLS（Transport Layer Security）通信の規格化とサポートの状況を踏まえ、「2020年3月時点でのTLS通信を利用した安全性と相互接続性のバランスを考慮した」としている。
証拠保全ガイドライン第７版 | ホーム | デジタル・フォレンジック研究会
特定非営利活動法人デジタル・フォレンジック研究会 「証拠保全ガイドライン」改訂ワーキンググループ編 「証拠保全ガイドライン第７版」 目次 本編 １. 本ガイドラインについて 1-1. 取り巻く環境の変化（状況認識） 1-2. デジタル・フォレンジックの状況 1-3. ねらいと方針 1-4. 想定読者 1-5. 留意事項 1-6. 謝辞 ２. 用語の定義 ３. インシデント発生前の準備 3-1. 活動プロセス及び体制の確立 3-2. 情報収集、情報共有及び分析 3-3. 資器材等の選定及び準備 3-4. 資器材等の使いこなし ４. インシデント発生直後の対応 4-1. 初動対応及び証拠保全が未実施の場合 4-2. 初動対応及び証拠保全が着手済みである場合 4-3. 初動対応及び証拠保全を円滑に進めるための活動 ５. 対象物の収集・取得・保全 5-1. 対象物の状態の把握 5-2. 収集・取得
J-STAGEがFirefoxでのアクセスを遮断、日本の電子ジャーナルが世界から不可視となった日｜Guest｜note
科学技術振興機構（以下JST）の運営する「J-STAGE」は、国立情報学研究所が運営する「CiNii」と双璧を成す、日本の電子ジャーナルプラットフォームである。それが2018年12月12日、Firefoxからのアクセスが不可能となった。 試しにFirefox 64でアクセスしてみたところ、確かにページ読み込みエラーとなり、コンテンツを表示することができなかった。サーバ証明書のエラーではないため例外を許可して続行することもできない。完全にFirefoxでのアクセスが遮断された格好だ。 翌日13日になってTwitterで原因の考察が始まり、J-STAGEの対応する暗号スイートに問題があることが判明する。 原因はJ-STAGEのTLS仕様違反J-STAGEはセキュリティ強化のため、2018年12月12日にTLS 1.2への切替とTLS 1.0/1.1の無効化を行うことを予告していた。これが影響し
パスワード「頻繁に変更はNG」 総務省が方針転換 - 日本経済新聞
定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述
プレス発表 ITパスポート試験における個人情報等の漏えいについて：IPA 独立行政法人 情報処理推進機構
ITパスポート試験の団体申込者が利用するシステムに不具合があり、二つの団体申込者が申込情報のダウンロードを同時に行った結果、自らの情報のほかにもう片方の団体申込者に係る申込情報が記載されたファイルがダウンロードされ、個人情報等が漏えいしたという事案が発生しました。すでに漏えいした情報は破棄されたことを確認し、再発防止措置も講じましたので、ご報告いたします。 このような事態が発生したことは誠に遺憾であり、関係者の皆様に多大なご迷惑をおかけしたことを深くお詫び申し上げます。 1．経緯 2018年2月26日に二つの団体申込者が、ウェブサイトから申込情報をCSVファイルでダウンロードできる機能を同時に利用したところ、双方の申込情報が合わさって記載されたCSVファイルが双方でダウンロードされました。当該CSVファイルには、ITパスポート試験の受験申込者の受験番号、氏名、受験日、受験料金の支払いに用い
クラウドサービスを脆弱性診断する時のお作法 - とある診断員の備忘録
「とある診断員の備忘録」というタイトルのわりに、ブログを始めてから今まで脆弱性診断に関することを一切書いていなかったことに気づいたので、そろそろ脆弱性診断ネタを書こうかと思います。 今回はクラウドプラットフォームに対する脆弱性診断の小ネタです。 クラウドサービスを診断する時のお作法って？ 私が脆弱性診断をやり始めた駆け出しの頃では、オンプレ環境の診断対象が多かったのですが、最近ではクラウドプラットフォームなどの利用が当たり前となったため、クラウド環境の診断対象と沢山エンカウントします。 クラウド環境に対して脆弱性診断を実施する場合には、実はいくつか抑えておくべきお作法があります。 1. クラウド事業者側に診断事前に申請が必要な場合がある 脆弱性診断の種類にもよりますが、ブラックボックステストでは疑似的な攻撃を実施して脆弱性の有無を判定するため、不正アクセスとして検知される可能性もあります。
TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
一挙公開！ 47都道府県「自治体セキュリティクラウド」落札企業
47都道府県は「自治体情報セキュリティクラウド」の構築業務などの入札を、2016年度に実施した。日経コンピュータの調べで、落札した主な企業が判明した。目立つのは通信事業者系ベンダーや地域の計算センター事業者などだ（表）。
Active Directoryを狙う標的型攻撃が相次ぐ、危険な現状を認識せよ
国内のセキュリティ組織であるJPCERTコーディネーションセンター（JPCERT/CC）は2017年3月中旬、Active Directoryを狙ったサイバー攻撃の実態と対策を解説するドキュメントを公開した。Active Directoryを乗っ取る標的型攻撃が多発しているにもかかわらず、企業・組織の多くでは対策が取られていないためだ。 重要なのに守りが甘い Active Directoryは、米マイクロソフトがWindowsサーバーで提供するディレクトリーサービス。企業・組織のコンピュータやユーザーを集中的に管理できる仕組みで、多くの企業・組織が導入している。 一方で、攻撃者にも狙われやすい。Active Directoryのドメイン管理者権限を取得すれば、そのドメイン配下のコンピュータに自由にアクセスできるなど、ほぼ何でもできてしまうからだ。 しかも、Active Directoryの
政府統一基準に準拠したAWSクラウド利用のセキュリティリファレンスを共同で提供開始
株式会社NTTデータ（本社：東京都江東区、代表取締役社長：岩本 敏男、以下：NTTデータ）、PwCあらた有限責任監査法人（東京都中央区、代表執行役：木村 浩一郎、以下：PwCあらた）、富士ソフト株式会社（本社：神奈川県横浜市、代表取締役 社長執行役員：坂下 智保、以下：富士ソフト）ら各社は共同で、内閣サイバーセキュリティセンター（以下：NISC）制定の政府統一基準に対応したセキュリティリファレンス（以下：リファレンス）を作成し、2017年3月23日より、政府機関向けに無償提供を開始します。本リファレンスは、クラウドサービス「アマゾン ウェブ サービス」（以下：AWS）環境におけるセキュリティ対応策の詳細を網羅的に提示しています。 NISCは2016年8月31日に、国内の政府機関が準拠すべき指針「政府機関の情報セキュリティ対策のための統一基準（平成28年度版）」（以下：「政府統一基準」）を改
Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
Symantecが再びGoogleの信頼を失った件についてのメモ - Technically, technophobic.
（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted
TLSとSPDYの間でGoogle Chromeがハマった脆弱性(CVE-2014-3166の解説) - ぼちぼち日記
1. はじめに、 Googleがハマったシリーズ第3弾。今度は Chrome の脆弱性がテーマです。 先日(8月12日頃）突然Google ChromeでSPDYの機能が一旦停止されました。CloudFareの人が気づいてspdy-devへのMLの問い合わせし、すぐGoogleのaglさんからの返事で計画的で一時的なものであることがわかりました。 twitterやfacebookもSPDYが全て使えなくなり非常に驚いたのですが、直後に Chrome の Stable/Beta/Dev チャンネルがアップデートされ、ほどなくして問題なくSPDYが使えるようになりました。 この理由は公式には明らかにされていませんが、Chromeのリリースアナウンスにヒントがありました。そこには、 High CVE-2014-3166: Information disclosure in SPDY. Credi
【Windows】秒速でパケットを盗聴する条件[ARP] - あのねノート。
2013-12-07 【Windows】秒速でパケットを盗聴する条件[ARP] ネタ 秒速でパケットは盗聴できる 以下の2つの手順で同一LAN内にある誰かのPCがどこと何を通信しているか(たとえばサイトURLとか)を知ることができます。 ARPスプーフィングする 自分のPCが通信するパケットを見る どっちもメチャメチャ簡単なので秒速でできます。今どきポチポチクリックしていればできてしまいます。つまり小学生でも盗聴ができてしまうのです。ノートPCでもスマホでもタブレットでも盗聴されちゃいます。 ARPスプーフィングする 早速やっていきましょう。ためにならない解説は飛ばしてやり方を見てください。 ARPスプーフィングについて しょぼい解説です。要らない方は飛ばしてやり方を見てください。 普段の通信 ターゲットを「弟」としましょう。弟はいつもこんな感じでニコニコ動画とかLOLとかやってるとします
![【Windows】秒速でパケットを盗聴する条件[ARP] - あのねノート。](https://cdn-ak-scissors.b.st-hatena.com/image/square/0c30cf2a627e8ed2d5f880ec0d12f3ddd27bf65d/height=288;version=1;width=512/http%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fo%2Fottati%2F20131207%2F20131207205228.png)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
内閣サイバーセキュリティセンター「政府機関の情報セキュリティ対策のための統一基準」を含む「3 省 4 ガイドライン」に対する マイクロソフト クラウド サービス (Microsoft Azure) の対応状況リスト - マイクロソフト 公共機関向け
フリーでやろうぜ！セキュリティチェック！
セキュリティ人材、「IT部門に6年いたら終わり」
