オフェンシブ視点による Cloud Security 入門 ~AWS 編~ - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、AWS 環境における攻撃者のオフェンシブな視点で Cloud Security の入門として紹介します。 1. 始めに 免責事項 想定読者 2. クラウドにおける脅威 クラウドの重大セキュリティ脅威 11の悪質な脅威 クラウドサービス利用に関連するリスク Top 10 AWS セキュリティ構成ミス Top 10 3. AWS 環境における攻撃者の観点 3.1 AWS 環境の外部からの観点 3.2 AWS 環境の内部からの観点 4. MITRE ATT&CK Framework for Cloud (IaaS) 4.1 初期アクセス (Initial Access) 4.2 実行 (Execution) 4.3 永続化 (Persistence) 4.4 権限昇格 (Privilege Escalation) 4.5 防御回避
「APIエコノミー」に迫る“検知できない脆弱性攻撃”の脅威
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 アプリのマイクロサービス化とAPIの関係 世界中のWeb通信を中継しているAkamai Technologies （以下 Akamai）が取り扱う通信の8割以上は、すでにAPIの通信が占めている。 APIを利用するスマートフォンやブラウザアプリが普及の後押しをしているのは間違いないが、近年ではサーバ側のマイクロサービス化（あるシステムを小規模なシステムを組み合わせて開発する手法）の影響も大きい。 日本も同様だ。商用のWebアプリケーション開発者に話を聞くと「いま開発中のWebアプリやスマホアプリのサーバ
640台超えるCitrixサーバにバックドア、現在進行中の深刻な問題 - 対処を
Bleeping Computerは8月2日(米国時間)、「Over 640 Citrix servers backdoored with web shells in ongoing attacks」において、進行中の攻撃により640台を超えるCitrixサーバにバックドアが設置されたと伝えた。 Over 640 Citrix servers backdoored with web shells in ongoing attacks Bleeping Computerによると、CVE-2023-3519で識別されるリモートコード実行(RCE: Remote Code Execution)の脆弱性を狙った進行中の攻撃があり、すでに数百台のCitrix Netscaler ADCおよびゲートウェイサーバが侵害されバックドアが設置されたとしている。 この脆弱性は過去に米国の重要インフラのネットワ
パスワードマネージャーの「LastPass」でユーザーがアカウントから締め出されパスワード情報にアクセスできなくなる事態が発生
パスワードマネージャー「LastPass」で、ユーザーがLastPassアカウントから締め出されるという事態が発生しています。原因はLastPassアカウントの多要素認証設定をリセットしなければいけなくなったことにあるそうです。 LastPass users furious after being locked out due to MFA resets https://www.bleepingcomputer.com/news/security/lastpass-users-furious-after-being-locked-out-due-to-mfa-resets/ Some LastPass users are locked out of their accounts after trying to reset their authenticator app - gHacks T
iPhoneやMacがサイバー攻撃に悪用されている、ただちにアップデートを
米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は5月22日(米国時間)、「CISA Adds Three Known Exploited Vulnerabilities to Catalog｜CISA」において、「Known Exploited Vulnerabilities Catalog」に、Apple製品の脆弱性を複数追加したとして、注意を喚起した。 CISA Adds Three Known Exploited Vulnerabilities to Catalog｜CISA 影響を受ける主な製品やサービスは次のとおり。 CVE-2023-32409 Apple Webkit - 複数の製品 CVE-2023-28204 Apple Webkit
OWASP/Go-SCPを読んでセキュアプログラミングとGoを学ぶ - My External Storage
この記事はGo Advent Calendar 2019の4日目の記事になる。 3日目は@ikawahaさんの「Goa v3 のテストをシュッとする]」だった。 本記事ではOpen Web Application Security Project（OWASP)が公開しているGo-SCPリポジトリを紹介する。 Webアプリケーションにはクロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）など、様々な脆弱性が潜む可能性がある。 脆弱性対策の書籍としては、体系的に学ぶ 安全なWebアプリケーションの作り方（徳丸本）などが有名だろう。 Go-SCPリポジトリにはWebアプリケーションを実装する際に必要な脆弱性の知識と、Goを使った脆弱性対策の実装方法が含まれている。 https://github.com/OWASP/Go-SCP TL;DR OWASPというWEB
“そうはならんやろコード”はなぜ生まれるのか セキュリティ専門家・徳丸氏に聞く「脆弱性だらけのWebアプリ」の背景
ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ
RHEL9互換の国産Linux OS「MIRACLE LINUX 9」が無償公開。2032年までパッケージアップデートやセキュリティパッチを無償提供
サイバートラストは、Red Hat Enterprise Linux（RHEL）9 互換の国産Linux OS「MIRACLE LINUX 9」の無償提供を開始しました。 「MIRACLE LINUX 9 」は、RHEL9と同様にLinuxカーネル5.14を採用し、OpenSSLなどの主要なパッケージのバーションアップの他、SELinux の性能改善、セキュアブート対応など、主にセキュリティ関連の機能が強化されています。 パッケージアップデートやセキュリティパッチは2032年11月まで無償で提供される予定。有償サポートサービス「MIRACLE Standard サポート」に加入すると日本語によるサポートサービスが利用可能で、またサポート期間も2034年まで延長されます。 昨年にはCentOS 8のバイナリ互換MIRACLE LINUX 8.4をリリース 同社は昨年（2021年）9月に、20
クラウド型WAF「攻撃遮断くん」、サーバセキュリティタイプをリニューアル
クラウド型WAF「攻撃遮断くん」は、Webサイト・Webサーバへのサイバー攻撃を可視化・遮断するWebセキュリティサービス。ディープラーニングを用いた攻撃検知AIエンジン「Cyneural（サイニューラル）」を活用し、一般的な攻撃の検知はもちろん、未知の攻撃の発見、誤検知の発見を高速に行うと共に、脅威インテリジェンス「Cyhorus（サイホルス）」により、脅威にもいち早く対応できる。 同サービスには、「Webセキュリティタイプ」「DDoSセキュリティタイプ」「サーバセキュリティタイプ」の3つのラインアップがあり、今回は「サーバセキュリティタイプ」をリニューアルした。 今回のリニューアルは、誤検知・過検知が少ないルールへの改善などを含むWAFルールのアップグレード、および利用者の利便性向上のための機能追加・UIの一新などを行った。 利用者によるルール動作の切り替え機能の追加では、利用者自身が
オープンソースの脆弱性、発見まで平均800日以上かかると判明
The Hacker Newsは11月1日(米国時間)、「Last Years Open Source - Tomorrow's Vulnerabilities」において、オープンソースソフトウェア（OSS）の脆弱性について取り上げた。OSSの脆弱性は通常、オープンソースプロジェクトのメンテナ、ユーザー、監査人、または外部のセキュリティ研究者によって発見されているが、コミュニティはいまだに脆弱性を見つけるのに苦労しているという。 Debricked の R&D 責任者である Emil Wåreus 氏の調査によると、オープンソースプロジェクトにおいて、脆弱性を発見するのに平均800日以上かかることがわかったとのことだ。例えば、悪名高いLog4shell（CVE-2021-44228）の脆弱性は2649日間も発見されなかったという。 オープンソースプロジェクトの脆弱性の74%は、少なくとも1
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Tera Term 5.1」が公開 ～SSHプロトコルで発見された脆弱性「Terrapin Attack」に対処／来年で30周年を迎える老舗のリモートログオンクライアント
NICT、サイバー攻撃分析プラットフォーム「NIRVANA改」に複数組織の横断分析を行う新機能。大局的な攻撃状況の把握が可能に 
NTT Security
「Slack」のソースコードが流出 ～顧客データは無事、サービスにも影響なし - 窓の杜