関連資料 | 安全・安心なクレジットカード取引への取組 | 一般社団法人日本クレジット協会
クレジットカード・セキュリティガイドライン [5.0版]（改訂ポイント） クレジットカード・セキュリティガイドライン [4.0版]（公表版）（改訂ポイント） クレジットカード・セキュリティガイドライン [3.0版]（公表版）（改訂ポイント） クレジットカード・セキュリティガイドライン [2.0版]（公表版）（概要版） クレジットカード・セキュリティガイドライン [1.0版]（公表版）（概要版） クレジットカード・セキュリティガイドラインFAQ EMV 3-Dセキュア導入ガイド EMV 3-Dセキュア導入ガイドサマリー版 【EMV 3-Dセキュア】統合版_AReq設定項目及び3RIの仕様・ユースケース（公表版） クレジット取引における本人確認方法に係るガイドライン セキュリティガイドライン5.0版 説明動画 はじめに ・クレジット取引セキュリティ対策協議会とは ≪02：29≫ ・クレジットカ
Ruby 3.0 がセキュリティメンテナンスフェーズになったのでいくつか補足, snap と all-ruby を更新した - HsbtDiary(2023-03-31)
■ Ruby 3.0 がセキュリティメンテナンスフェーズになったのでいくつか補足 Ruby 3.0 がセキュリティメンテナンスフェーズになったことに合わせて、いくつかサプライチェーン周りで考えておく必要がある事項があるので共有しときます。 Ruby 3.0 は OpenSSL 3.0 対応しないことになった Bug #18658: Need openssl 3 support for Ubuntu 22.04 (Ruby 2.7.x and 3.0.x) - Ruby master - Ruby Issue Tracking System に書いたように、Ruby 3.0 には OpenSSL 3.0 に対応した openssl gem はバックポートされないことになりました。つまり、OpenSSL 3.x しか提供されない Ubuntu 22.04 では Ruby 3.0 はビルドできな
RSAの終わりの始まり - 暗号移行再び - Qiita
前振り 全国の暗号を使うエンジニアの皆さんこんにちは。今日は暗号移行とRSA暗号の話をしたいと思います。まず暗号を利用している皆さんであればCRYPTRECの「電子政府推奨暗号リスト」のことはご存じですよね！（言い切るw） CRYPTRECから2022年7月（昨年夏）に暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準（PDF直リンク）が公開されました。この中では暗号のセキュリティ強度で各種暗号と鍵長が整理されています。セキュリティ強度はビットセキュリティと呼ばれるビットサイズ（共通鍵暗号の場合のビット長）で区分されます。暗号アルゴリズムが違ってもセキュリティ強度で比較ができるということですね。例えば現在一般的に良く使われているセキュリティ強度は112ビットセキュリティが多く、これにはデジタル署名であればRSA暗号の2048ビットやECDSAのP-224等が含まれます。今日は公開鍵暗
セキュリティーチェックシートという闇への防衛術 - Qiita
といった感じです。（この例、下で問題例として取り上げるため、実はおかしなチェック内容にしています。） "No.～基準"までがシートに記載されていてます。回答する発注先企業は"Yes,No,N/A"を3択で✅をつけ、備考欄にNoやN/Aの理由のほか、注記を記載できます。こういう項目が20～500項目あるExcelのシートに、発注先企業の回答担当は自社の状況、対応を確認しながら、ひたすら記載してゆくわけです。 知ってる人は知っているが、知らない人はぜんぜん知らない 最近参加したエンジニアがぞろぞろいらしたカンファレンスで、私が 「……あの セキュリティーチェックシート ってあるじゃないですが、あの 面倒なアレ です。アレにこの規格を採用するよう書いてあったら、各企業に規格の採用が広がるかもですね。あはは。」 と話したことがありました。その瞬間、 嫌なことを思い出したのか顔を曇らせたり苦笑いをす
「うちの情報、freeeから漏れたんじゃないんですか？」 顧客から問い合わせ殺到──したらどうする？ freeeが再び全社訓練
「アイティメディアの高橋と申します。今、Twitter上で、御社から顧客情報が漏えいしているのではないかという書き込みが複数流れているのですが、どういうことでしょうか？」──もし広報の窓口にこんな問い合わせが来たら、皆さんの会社ではどう対応するだろうか。クラウド型会計・人事サービスを提供するfreeeではこんな風に、広報や営業・顧客対応も含めた包括的な障害対応訓練を実施した。 顧客・マスコミなど社外とのやりとりにもフォーカス freeeには2018年10月、会計処理の集中する月末に2時間半にわたってサービスが停止するという大障害を発生させてしまった苦い経験がある。その反省を踏まえ、記憶を風化させず、いざというときに適切な対処を迅速に取れるよう、全社にまたがる障害対応訓練を毎年10月に実施している。 21年の障害対応訓練は、今まさに猛威を振るうランサムウェアを題材にしたものだった。サプライチ
ユーザーアクションが不要な reCAPTCHA の導入 試行錯誤編 - Feedforce Developer Blog
フロントエンドエンジニア N による社内技術記事を本人の許可を得て公開します(一部社外向けに書き換え)。 TL;DR 不正ログイン試行を防ぐため、ソーシャルPLUS のメッセージマネージャーに使われているログインシステムへ、reCAPTCHA v3 を導入したら、意外と大変だった話。 TL;DR reCAPTCHA 導入のきっかけ 機械的な不正ログイン試行を防ぎたい フリクション 1 が少ない reCAPTCHA v3 を試したい 守られている感を醸し出せる 既存ユーザーにフリクションを感じさせないログインを目指したい 安全と思われるユーザーに対しては ボットと思われるユーザーに対しては それでも、人間性が確認できなければ 以下、試行錯誤の過程 まずはシンプルに reCAPTCHA v3 導入した、が 問題は、人間スコアが低かったときのフロー 誤検知対策としての reCAPTCHA v2
[神アップデート]GuardDutyがEC2やECSのマルウェア検知時のスキャンに対応したので実際にスキャンさせてみた #reinforce | DevelopersIO
[神アップデート]GuardDutyがEC2やECSのマルウェア検知時のスキャンに対応したので実際にスキャンさせてみた #reinforce 神機能が提供されました。EC2やコンテナでマルウェア感染の挙動を検知したら、GuardDutyがマルウェアスキャンを実施できるようになりました。ユーザーが頑張ることが1つ減りました。控えめに言って最高ですね。 こんにちは、臼田です。 みなさん、AWSで脅威検知してますか？(挨拶 神機能がリリースされました！現在開催されているAWSのセキュリティカンファレンスre:InforceにてEC2やECS/EKSなどのコンテナワークロード上でマルウェアを検知した際にスキャンする機能が発表されました！ New for Amazon GuardDuty – Malware Detection for Amazon EBS Volumes | AWS News Bl
![[神アップデート]GuardDutyがEC2やECSのマルウェア検知時のスキャンに対応したので実際にスキャンさせてみた #reinforce | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/15ee2fd3d857b7a8f5946b7ced0b54d5a76e6b81/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2022%2F07%2F000_guardduty_malware_protection.jpg)
【2022年版ベストプラクティス】AWS IAMまとめ - Qiita
はじめに AWSのアクセス制御サービスであるIAMについて、2022年7月時点での機能および使用法を、初学者でも理解しやすいことを心掛けてまとめました。 IAMをよく分からないまま適当に設定するとセキュリティ的にまずいので、これを機に設定を見直して頂き、セキュリティレベル向上に貢献できれば幸いです。 特に、後述するIAM設定手順は、AWSに登録して最初に実施すべき設定に相当するため、セキュリティに興味がなくとも一度は実施することをお勧めします。 また公式のベストプラクティスは丁寧にまとめたつもりなので、初学者以外でもAWSのセキュリティ確保に興味がある方は、ぜひご一読頂けると嬉しいです。 IAMとは 「Identity and Access Management」の略です。 公式ドキュメントによると、IAMは「誰」が「どのAWSのサービスやリソース」に「どのような条件」でアクセスできるかを
話題の“まだ作成していないユーザーアカウント”を先回りして乗っ取る攻撃について図でまとめてみた - Qiita
概要 アカウントを乗っ取る攻撃が私の中で話題だったので、理解しようと努めましたという記事です。 その元記事はこちら↓ とのことなので、有名サイトでもこの脆弱性を抱えていることになります。 この記事に出てくる攻撃方法は 5つ あり、文章だとピンと来なかったのでシーケンス図に書き出してみました。 乗っ取りはすごい怖いですね... RDSの本番DBをtruncateしていくよりも下手したら損害が出る可能性もあるのでは？と思ってしまいます。 さて、本記事はこんなことかな？とふんわり書いているので、間違っていたら指摘していただけると嬉しいです Classic-Federated Merge Attack 攻撃者が被害者のメールアドレスを使い、先回りしてサービスのアカウントを作成しておく。被害者が「Googleでログイン」などでそのサービスにログインした場合にアドレスが統合されるため乗っ取りが成功する
SnykでOSSプロジェクトの脆弱性を調べてみる - Qiita
🏆 オープンソース開発者大賞🏆 Qiita Engineer Festa 2022@kannkyoshi さんの「SnykでOSSプロジェクトの脆弱性を調べてみる」です OSS プロジェクトのセキュリティ改善に貢献した点に注目しました。修正版が公開された際には、プロジェクト名等もぜひ教えてください！https://t.co/hEinRuasyb — Snyk Japan (@snykJP) July 29, 2022 はじめに 昨今のソフトウェア開発において、OSSは必要不可欠なものになっていると思います。 Webシステム、アプリ、IoTシステム・・・。 Linuxやgccも含めると、OSSを使わずにソフトウェアを開発することはほとんどないかなと思います。 便利ですよね。 しかし、Snyk と Linux Foundation の共同調査によると、 41%の企業がオープンソースソフトウ
「インフラエンジニアには難しい」「手でやったほうが楽」も解消 これからCDKを使う人向けの4つのナレッジ
「AWS CDK Conference Japan」は AWS CDK ユーザーが集まって事例やノウハウを共有しあうイベントです。今回は、CDKv2をメインテーマに、初の大型カンファレンスが開催されました。アマゾンウェブサービスジャパンの大村氏は「Baseline Environment on AWS （BLEA）開発にあたって検討したこと」をテーマに発表しました。まずはCDKとBLEAについて解説したのち、これからCDKを使う方たちへのナレッジを紹介します 自己紹介 司会者：次は、今までがんばってCDK（Cloud Development Kit）を普及させてきた大村さんです。 大村幸敬氏（以下、大村）：よろしくお願いします。 司会者：初めて聞く単語なんですが、読み方は「ブレア」でいいですか？ 大村：「ブレア」でいいです。 司会者：準備ができたらBLEA（Baseline Environ
一般ユーザに払い出すと危険なサブドメインやメールアドレス - ASnoKaze blog
ユーザに対して、そのユーザ名のサブドメインやメールアドレスを払い出すWebサービスがあります。 しかし、特定のサブドメインやメールアドレスは特別な用途で使われているものもあります。そのようなサブドメインやメールアドレスを一般ユーザに払い出してしまうと危険です。 現在、IETFでは仕様上利用用途が決められている、それらのラベルをとりまとめる「Dangerous Labels in DNS and E-mail」というdraftが提出されています。 今回はそれを眺めていきます。 （あくまでIETFの取り組みであり、仕様上定義されているものをとりまとめています。クラウドサービスや特定ベンダーで特別利用しているものは現在含まれていません。） サブドメイン ここでとりあげるサブドメインは、利用用途が決まってるため一般ユーザに払い出すべきではありません。(例: mta-sts.example.com)
個人情報25万件がGoogle検索で丸見え、2年以上そのままに 企業向け研修サービスでトラブル、原因は調査中
個人情報25万件がGoogle検索で丸見え、2年以上そのままに 企業向け研修サービスでトラブル、原因は調査中 クラウドサービスの開発・提供を手掛けるリスクモンスターは7月4日、同社の企業向け研修サービス「サイバックスUniv.」について、サーバに保存していた約25万人分の個人情報が、Googleで検索できる状態になっていたと発表した。すでに設定は変更済みで、問題は修正済み。原因は調査中という。 対象の情報は、サービスに登録していた人の会社名、部署名、氏名。2020年2月16日から22年6月29日まで、Google検索からこれらの情報にアクセスできる状態だったという。 一部の情報は実際に流出したことを確認した。少なくとも直近3カ月間で18件、Google経由でのアクセスがあり、うち1件では5934件の個人情報をダウンロードされていた。ただし、個人情報をダウンロードした人はすでにデータを削除済
メタップスペイメント不正アクセス事件の第三者報告書から攻撃の模様を読み解く
株式会社メタップスペイメントの運営する決済代行システムから約288万件のクレジットカード情報が漏洩した不正アクセス事件について、第三者委員会の報告書および経済産業省の行政処分（改善命令）があいついで公開されました。 第三者委員会調査報告書（公表版） クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省） 本稿では、主に第三者委員会の調査報告書（以下「報告書」と表記）をベースとして、この事件の攻撃の様子を説明します。 システムの概要報告書にはシステム構成図やネットワーク構成図は記載されていないため、報告書の内容から推測によりシステムの構成を以下のように仮定しました。 図中のサーバー名は報告書の記載に従っています。以下、概要を説明します。 サーバ名概要 A社アプリ一般社団法人A 会員向け申込みフォーム 経産省改善命令では、「同社とコンビニ決済に係る契約を締結してい
今回は難題だ……新種のランサムウェアが要求する3つの奇妙なこと：667th Lap
またもや新種のランサムウェアが発見された。攻撃者は暗号化を解くために3つの奇妙なことを要求するという。だが、その難易度は高く、人によってはかなりの時間を要するだろう。今回は今までの手口とは異なり、少し厄介だ。 2022年も既に半年が過ぎたが、2021年に引き続きランサムウェアの暗躍は続いている。特に大企業の被害が大きく、2022年3月にはデンソーが身代金支払いを拒否したところ、情報が窃取されネットに流出される事態となった。警察庁によれば2021年度は4月から12月末までの9カ月間で約3万5000件の被害が発生したとしている。 こうした被害が相次ぐ中で、またもや新種のランサムウェアが確認された。しかし、何とも奇妙なもので、これにはセキュリティ業界も動揺を隠せないようだ。その新種のランサムウェアは感染者にある3つの要求をするという。感染者は一体何をさせられるのか？ 新種のランサムウェアの名は「
またUSB紛失 患者の個人情報入り、杏林大病院 院外持ち出し禁止のはずが
杏林大学医学部付属病院（東京都三鷹市）は6月30日、同院の医師が患者の個人情報入りUSBメモリを紛失したと発表した。紛失したUSBメモリはパスワードロックなどがされておらず、30日時点でUSBメモリは発見できていない。個人情報の漏えいなどの事実は確認していないとしている。 【訂正履歴：2022年7月1日午後2時40分 当初、記事タイトルを「院内持ち出し」としておりましたが、「院外持ち出し」の誤りでした。お詫びして訂正いたします。】 紛失が発覚したのは6月19日。診療上のデータを院外に持ち出すのは禁止されていたが、データの判読に長時間を要することから、該当の医師は院外にUSBメモリを持ち出した。医師の帰宅後、患者27人の氏名やID番号、終夜睡眠ポリグラフ検査データ、睡眠時の状態を記録した動画が入ったUSBメモリを紛失していることに気付いたという。 同院は「この動画は赤外線を通して撮影している
クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省）
経済産業省は、本日、割賦販売法に基づくクレジットカード番号等取扱業者である株式会社メタップスペイメント（法人番号9011101027550）に対し、同法第35条の17の規定に基づく改善命令を発出しました。 1．事業者の概要 (1)名称：株式会社メタップスペイメント（以下「同社」という。） (2)代表者：代表取締役 和田 洋一 (3)所在地：東京都港区港南二丁目16番1号 品川イーストワンタワー7階 (4)事業内容：決済代行業等 2．処分内容 割賦販売法（昭和36年法律第159号。以下「法」という。）第35条の17に基づく改善命令 法第35条の16に規定するクレジットカード番号等の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置として、以下の措置を講じること。 同社が同社とクレジットカード決済に係る契約を締結しているクレジットカード等購入あっせん関係販売
“野良SaaS”放置が招く3つのリスク 危険性はセキュリティ以外にも 専門家に聞く基礎知識
企業によるクラウドサービスの利用が一般的になる中、導入しやすさが特徴のSaaSは業務部門でも利用が進んでいる。一方でその導入しやすさが仇になり、使っているSaaSの数が膨大になった結果、IT部門や経営層などが利用状況を管理しきれていない“野良SaaS”が生まれ、セキュリティ事故などにつながる例も見られる。 例えばエイチームでは、クラウドサービスの設定ミスにより、採用イベントに参加した人などの個人情報5857人分が、最長で6年の間外部から閲覧可能になっていたと5月に報告していた。原因は、社員が会社の管理下にないクラウドサービスを使っており、アクセス権限を管理できていなかったことにあったという。 管理が行き届かない野良SaaSの脅威は他にもある。専門家によれば、野良SaaSの放置が招くリスクは、セキュリティを含め3種類あるという。 企業の正しいIT資産管理を支援する一般社団法人、IT資産管理評
セキュリティエンジニアのための English Reading | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。 想定利用者 日本語話者のセキュリティエンジニア全般ですが、中でも「ユーザー企業や官公庁で働く実務担当者」を主なターゲットとしています。「英語はちょっと……
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
すだちの国からIT界隈をざわざわさせる、徳島県つるぎ町立半田病院のランサムウェア調査報告書（災害拠点病院でIT担当者が1人）。
