Webサービス公開前のチェックリスト
個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお
ランチ時に「決済できない」学生悲鳴 大学生協アプリ障害「AWSの同時接続制限超過が原因」
全国の大学生協の食堂などで決済に使われている「大学生協アプリ」で4月15日の正午過ぎから約30分間にわたって障害が発生し、決済などができない状態になった。 同アプリを提供している大学生協事業連合は16日、 「AWSで設定されていた同時接続制限を超過したことが原因」と表明。同時接続制限を拡張し、監視体制を強化することで対策したとしている。 大学生協アプリは、生協の購買や食堂などで使える電子マネー機能などを備えており、全国の多くの大学生協で採用されている。 4月15日の障害は、お昼のピーク時刻に当たる午後0時3分に発生。サインインやバーコードの更新、チャージ、会員証の表示、電子マネーによる精算などができない状態になった。Xには学生から困惑の投稿が相次ぎ、トレンドに「大学生協アプリ」が入った。 原因は、AWSで設定されていた同時接続制限を超えたことにより、リクエストが処理できなくなったこと。同日
スタディサプリのWebアプリケーションはこうやって開発されている - スタディサプリ Product Team Blog
こんにちは。Webアプリケーションエンジニアの @ttokutake です。 今回はスタディサプリのWebアプリケーション開発がどのように行われているかをざっと紹介したいと思います。 スタディサプリ 大学受験講座 の開発の話がメインです。 スタディサプリ 中学講座 は今回の話とはやや異なる部分もあるため、それはまた別のブログ記事で紹介されるかもしれません！ スタディサプリ ENGLISH は全く別物のシステムです。 そちらの開発については こちらのサイト のブログ記事を読むといろいろと雰囲気が掴めそうです。 Webサービスの構成 まずはWebサービスの構成を紹介します。 右半分にはDBを共有している複数のWebアプリケーションが描かれています。 これらは歴史の長いWebアプリケーションがそれなりにあり、いわゆる「分断されたモノリス」状態となっています。 左半分にはマイクロサービス群が描かれ
オフェンシブ視点による Cloud Security 入門 ~AWS 編~ - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、AWS 環境における攻撃者のオフェンシブな視点で Cloud Security の入門として紹介します。 1. 始めに 免責事項 想定読者 2. クラウドにおける脅威 クラウドの重大セキュリティ脅威 11の悪質な脅威 クラウドサービス利用に関連するリスク Top 10 AWS セキュリティ構成ミス Top 10 3. AWS 環境における攻撃者の観点 3.1 AWS 環境の外部からの観点 3.2 AWS 環境の内部からの観点 4. MITRE ATT&CK Framework for Cloud (IaaS) 4.1 初期アクセス (Initial Access) 4.2 実行 (Execution) 4.3 永続化 (Persistence) 4.4 権限昇格 (Privilege Escalation) 4.5 防御回避
不正アクセスで入手した名刺情報を投資勧誘に悪用していた事案についてまとめてみた - piyolog
2024年2月9日、警視庁サイバー犯罪対策課などは法人向け名刺管理サービスを利用する企業のアカウントに不正アクセスを行い名刺情報の閲覧を行っていたとして、不動産販売会社の男を逮捕したと公表しました。男らは不動産投資の勧誘に入手した名刺情報を使用していたとみられています。ここでは関連する情報をまとめます。 2年前から名刺管理サービスに不正アクセスか 男の逮捕容疑は不正アクセス禁止法違反。男は会社の部下と共謀し、2022年11月からSansanの社員に偽装し、都内の空調設備会社の社員に対してメールを送信。名刺管理サービスのログインに必要となる認証情報を取得し、さらに2023年2月に名刺管理サービスに接続を行った疑い。 その後男は再び不正アクセス禁止法違反の容疑で逮捕されており、2023年2月から3月にかけて、Sansanの従業員になりすまして北海道、愛知県など4社にフィッシングメールを送りパス
Googleドメイン売却!? 良さげな移行先サービスを比較してみた - Qiita
2023年6月16日、今朝のIT界隈はこちらのニュースで持ちきりでした。 Googleさんが直々に提供している人気のドメインホスティングサービス、Googleドメインが事業売却となるということです。 かくいう私も自分の個人用ドメインをGoogle Domainsでホストし、個人用メールアドレスや技術検証などに活用しているので引っ越しを検討しなければなりません。色々調べてまとめてみました。 今回の事業売却の影響は？ Webニュース等でも紹介されているとおり、以下です。 現行ユーザーが直ちに対応を行う必要はない 2023年後半をめどにSquarespace社へドメインや顧客を移管予定 移管完了から少なくとも1年間は現在の価格を尊重 ただし現Squarespaceのサービス価格相場を比較すると、Googleドメインの倍ぐらいの価格設定になってしまうリスクもありそうです。 他社の主なドメインサービ
Free Wi-Fi(00000JAPAN)は安全なのか？ - Qiita
元記事 元記事を読んで恐くなり、災害用公衆無線LANの00000JAPANを含むFree Wi-Fiの使用を躊躇してしまった一般利用者個人のためにこの記事を書きました。 本記事では大雑把に元記事がどのようなリスクを指摘しているのか、そしてなぜそれを考えなくて良いのかを説明した後、情報セキュリティについて持論を述べる前に理解しておくべき点に触れます。 結論 正しくスマホやPCを使う限りFree Wi-Fiは危険ではありません。00000JAPANをぜひ活用してください。 これに同意した方とネタが嫌いな人はセキュリティクラスタは口が悪いまで読み飛ばしてください。 まだ心配な人のために暗号化の重要性を知っている専門家の見解を紹介します。 災害時無料公衆無線LANの利用がNHKで紹介され、Wi-Fi暗号化がされていないことから「クレジットカード情報やパスワードなどの入力は極力、避けるよう」と呼び掛
BingチャットはAzure＋Oracle Cloudで動いていた
米Oracleが、米Microsoftの検索エンジン「Bing」が搭載するチャットAI機能「Bingチャット」に、クラウドサービス「Oracle Cloud Infrastructure」（OCI）を提供していると発表した。BingチャットはMicrosoftのクラウドサービス「Microsoft Azure」とOCIを併用する形で動作しているという。 米Oracleは11月7日（現地時間）、米Microsoftが提供する検索エンジン「Bing」が搭載するチャットAI機能「Bingチャット」に、クラウドサービス「Oracle Cloud Infrastructure」（OCI）を提供していると発表した。BingチャットはMicrosoftのクラウドサービス「Microsoft Azure」とOCIを併用する形で動作しているという。 Oracleによれば、MicrosoftはAzureとOC
SOC（Security Operation Center）がクラウド時代に求められる理由とは？ | サイバーセキュリティ情報局
セキュリティ強化・対策 企業ユーザー向け 2023.9.5 SOC（Security Operation Center）がクラウド時代に求められる理由とは？ クラウドサービスが日常生活や企業での業務に浸透している時代が到来。多くの端末が場所を問わずインターネットに接続されるため、攻撃者にとってはターゲットが増加することに。こうした時代において企業はどのような対策が求められるのか。この記事では、近年その重要性が再認識されているSOCについて解説する。 クラウド時代に高まる脅威 コロナ禍を迎えるや否や、多くの企業がリモートワークへのシフトを余儀なくされた。企業、そして従業員の双方でその働き方にメリット、デメリットを実感する中で、コロナ禍が徐々に沈静化していき、リモートワークを取りやめる企業も一部出てきている。 しかし、働く従業員にとってリモートワークは「柔軟な働き方」を実現してくれたことから、
【個人開発】収益化したサービスのコードを50%以上削除して得られた境地
先に境地を 個人開発の場合、少ないコード・最低限のシステム構成は正義。 なぜなら、時間やお金に制限がある個人開発者にとってサービスの継続に関わる問題だからです。 例えば、自分のサービスを世に広めたいとか、一発当てたいとか、作ったサービスで生活をしたいとか、 なにか目標があるなら達成する方法は、達成するまでやめないことです。 なのでサービスを提供し続けることは最も大切なことです。 これまで個人開発者としては↓の気持ちで開発を進めてきました。 しかし、この経験の後にこの↓の名言の大切さを改めて感じることができました。 シンプルにしておけ愚か者 また、本記事本文より たくさんプラグインやモジュールを入れたシステムはメンテナンスがしんどいです。「デフォルトで使う」ということの魅力を改めて実感しています。リソースが限られている個人開発の場合、このような時間の消費は極力なくす方向にしていくべきです。
Amazonプライムデーの裏でAWS大奮闘 EBSは15兆件のリクエスト処理 EC2インスタンスは数千万
米Amazon.comが7月10日から11日（現地時間）に開催した会員限定セール「プライムデー」。販売した商品の総数は3億7500万点を超えた。大量の注文をさばくに当たっては米Amazon Web Servicesのクラウドサービスを活用。8月2日には、AWSの各種サービスをどれだけ使ったかのデータも公開した。 例えば、データをブロックという単位で分けて管理するストレージ「Amazon Elastic Block Store」では、1日当たり15兆3500億件のリクエストと、764PB（ペタバイト）のデータ転送があった。仮想サーバ「Amazon EC2」では2022年開催時の2.7倍に当たる、数千万のインスタンスを活用したという。
Twitterの移行先は「爆サイ.com」？ 閲覧制限でトラフィックが急増
米X社（旧Twitter）のイーロン・マスク氏が突如発表したTwitterの一時的な閲覧制限により、ネット上では混乱が続いている。1日に見られるツイート数が制限され、代替サービスを求めるユーザーも多い。そんな中、地域特化の掲示板サービス「爆サイ.com」のトラフィックが急増している。 爆サイ.comは運営会社非公表の掲示板サービス。ネット掲示板サービスとしては「5ch」に次ぐ規模とも言われる。7月2日の発表によるとTwitterの閲覧制限が始まって以降、爆サイへの急激なユーザー流入によりトラフィックが急増。サービスの一部が利用しづらい状況が発生したという。3日正午過ぎにはサーバを大量増設して負荷を軽減し、障害が復旧したとしている。
パスワードマネージャーの「LastPass」でユーザーがアカウントから締め出されパスワード情報にアクセスできなくなる事態が発生
パスワードマネージャー「LastPass」で、ユーザーがLastPassアカウントから締め出されるという事態が発生しています。原因はLastPassアカウントの多要素認証設定をリセットしなければいけなくなったことにあるそうです。 LastPass users furious after being locked out due to MFA resets https://www.bleepingcomputer.com/news/security/lastpass-users-furious-after-being-locked-out-due-to-mfa-resets/ Some LastPass users are locked out of their accounts after trying to reset their authenticator app - gHacks T
Wi-Fiを内蔵してAWSを活用する「たまごっち」、7月に世界同時発売 専用メタバースも
バンダイは6月6日、育成ゲーム「たまごっち」シリーズで初めてWi-Fiを内蔵した「Tamagotchi Uni（たまごっちユニ）」を発表した。北米、欧州など35の国と地域で同時に発売。世界中のユーザーが育てたたまごっち達と専用メタバースで交流できる。 Wi-Fiを介して直接クラウドに接続。たまごっち達は専用メタバース「Tamaverse」（タマバース）へ遊びに行き、配信コンテンツをダウンロードできる。タマバースでは常に新しいイベントやアイテムなどを用意しているという。 バンダイは「自分が育てた自分だけのたまごっちで世界中のたまごっちファンとコミュニケーションをとれる世界を作りたい、という思いで開発した」と説明している。 米Amazon Web Services（AWS）が提供するIoTデバイス向けのクラウドサービスを採用した。これにより「世界中のたまごっちたちと競ったり、協力したりするイベ
セキュリティ分野で「一兆円企業」を目指す。Flatt Security井手康貴の原動力 - エンジニアtype | 転職type
2023.06.06 働き方 セキュリティーCEO 開発とセキュリティの分断を解消する「開発者に寄り添うセキュリティ」の分野で事業を展開する株式会社Flatt Securityは、近年急成長中のサイバーセキュリティスタートアップだ。 代表取締役CEOの井手康貴さんは大学在学中に同社を起業し、セキュリティ診断（脆弱性診断）やセキュアコーディング学習プラットフォーム『KENRO』の提供からなるプロフェッショナルサービス事業や、テック組織のためのクラウドセキュリティSaaS『Shisho Cloud』の提供を通じてセキュリティの自動化を推進するプロダクト事業を展開してきた。 そして創業7年目を迎えた今、Flatt Securityはセキュリティ分野で確かな存在感を示している。同社の急成長を決定付けたものとは何だったのか。 「ものづくりの分野で一兆円企業を目指したい」と語る井手さんに、これまでの決
グーグル、ダークウェブ監視サービスを「Gmail」ユーザーにも提供へ
Googleは米国時間5月10日、ダークウェブの監視サービスの提供を、「Gmail」ユーザーにも拡大すると発表した。これは、Gmailアドレスを使ってログインしているサイトのデータが漏えいした場合、自身のアカウント情報がダークウェブで取引されていないか確認する上で役立つサービスだ。 これまでこの機能を利用できるのは、月額もしくは年額料金を支払っている「Google One」ユーザーに限られていた。しかし、Google Core Systems＆Experiences担当シニアバイスプレジデントのJen Fitzpatrick氏によると、今後数週間かけて、ダークウェブレポートを米国のGmailユーザーに提供し、その後、ほかの国々に拡大するという。つまり、米国でGmailを利用している人なら誰でも、自身のアドレスがダークウェブで取引されていないか調べられるようになる。 アカウントがインターネッ
ソフトバンク5G基地局、6万5000局突破 全国7500カ所超の商業施設で利用可能に
ソフトバンクは4月28日、5G（第5世代移動通信システム）の基地局数が2023年4月中旬に6万5000局を越えたと発表した。 これにより、全国7500カ所超の商業施設などで、5Gの通信サービスが利用可能になった。 また、同社はスタンドアローン（Stand Alone）方式による5Gの商用サービス（5G SA）をスマートフォン（※）向けに提供しており、サービスの提供エリアを順次拡大している。合わせて、提供エリアも公開している。 ※5G SAに対応した端末、ソフトウエアの更新、5G SAに対応したUSIMカードが必要 同社は今後さらに増加するトラフィックに対応し、ストレスフリーなネットワークの実現に向けて、5Gのさらなる高度化を推進し、世界最高レベルの5Gネットワークの構築を目指すとしている。 関連記事 ソフトバンクが「5G SA」をスマホにも提供 Xperia 5 III（Android 1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
マイクロソフトの「コパイロット」とはなにか OpenAIとの依存と共生【西田宗千佳のイマトミライ】
Twitter、気象・緊急情報など公的サービスのAPI利用を無料に
東京メトロ、丸ノ内線でQRコード乗車の実証実験
