情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
サイトを公開する際に最低限抑えておきたい Apache の設定 | バシャログ。
こんにちは nakamura です。最近トルシエさんテレビ出すぎじゃありません？ウィイレヤロウヨ。オフサイドダヨ！ さてさて今回は意外と知られてないけど、サイトをインターネットに公開する際には知っておいた方が良い Apache の設定をいくつかご紹介します（一部 PHP の設定もありますが）。この設定をしていないからといって即危険にさらされるという訳でもありませんが、リスクの芽は摘んでおくに越した事はありませんよね。 無駄な HTTP ヘッダを返さない ディストリビューションにより異なるかもしれませんが、CentOS デフォルトの設定の場合 Apache が返してくる HTTP ヘッダは以下のようなものです。 HTTP/1.1 200 OK Date: Mon, 05 Jul 2010 01:01:14 GMT Server: Apache/2.2.3 (CentOS) X-Powered
検証ラボ - 目次：ITpro
注目すべき製品や技術について，実際に細部にわたって検証・評価を行い，公正な観点からレポートする。現場ではやりたくてもできない，やるヒマがない，でも結果は知りたいテーマを取り上げる。 観点の絞り込みで設計レビューは改善できるか？ 要件定義書や設計書のレビューでは、後工程での修正コストを低減させる「重大な指摘」を数多く挙げることが重要だ。その方法の一つとして、レビューの観点を絞り込むことが提唱されている。観点を絞り込むことで、重大な指摘はどれだけ増えるのか。レビューの研究者である森崎修司氏に、二つの検証結果を報告してもらった。 ウイルスを観察してみる ウイルスやワームはパソコンやサーバーの中でどのように動作するのか。その動きを目で見ることは，脅威を体感するという意味で意義がある。そこで，検証マシンを用意し，実際に感染させ，発症させ，その挙動を観察した。 KVS「Cassandra」の実力 デー
第12回 セキュリティもみじ セミナー - セキュリティもみじ
第12回 セキュリティもみじ セミナーの正式告知です。 今回はWEB監査でおなじみの国分さんです。 ■第１２回 セキュリティもみじ セミナー 「イマドキのWeb監査／ライトニングトーク ５連発」 ■ 日時 ■ 2008年3月1日（土） 13時〜16時30分 タイムテーブル 12:30〜 開場 13:00〜 開始 メイン講演「イマドキのWeb監査」 14:15〜14:30 休憩 14:30〜16:00 ライトニングトーク３連発 16:00〜 自己紹介タイム 16:30 終了 ■ 会場 ■ 広島県立産業技術交流センター http://www.hiwave.or.jp/hikos/kouryu/kouryutop.htm 住所：広島市中区千田町3丁目7番47号 広島県情報プラザ内 TEL：082-240-7700 ※会場内は飲食物の持ち込みは原則として禁止されておりますが、ペット ボトルなどでの
Microsoft Learn: Build skills that open doors in your career
Microsoft Learn. Spark possibility. Build skills that open doors. See all you can do with documentation, hands-on training, and certifications to help you get the most from Microsoft products. Learn by doing Gain the skills you can apply to everyday situations through hands-on training personalized to your needs, at your own pace or with our global network of learning partners. Take training Find
Webアプリケーションを作る前に知るべき10の脆弱性 ― ＠IT
Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ
Geekなぺーじ：クラッカーがGoogleを使って脆弱なサイトを探す方法の例
Googleを使って脆弱性のあるサーバを探す手法を「Google Hacking」と言いますが、その検索方法を大量に集めた 「Google Hacking Database (GHDB)」というサイトがあります。 そこでは様々な検索キーワードが紹介されています。 紹介されているものを、いくつかピックアップしてみました。 (ただし、多少古いです。) このような検索を行って脆弱性のあるサーバを探している人が世の中に結構いるみたいです。 サーバを運用している方はご注意下さい。 これらの情報は既に公開された情報なので、検索結果にはワザとこのような情報を流して侵入を試みる人を誘い込もうとしているハニーポットが含まれている可能性もあります。 秘密鍵を探す 秘密鍵は公開鍵と違って秘密にするものなので発見できてしまうのは非常にまずいです。 BEGIN (CERTIFICATE|DSA|RSA) filet
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
＠IT：サポートが終了したRed Hat Linuxをアップデートするには（yum編）
Red Hat社によるRed Hat Linuxのサポートは終了した。だが、Fedora Legacy Project（http://www.fedoralegacy.org/）がアップデートパッケージの提供を続けているため、これを利用すればRed Hat Linuxをアップデートできる。 Fedora Legacy Projectのアップデートパッケージを適用するには、Fedora Coreと同様にyumコマンドを利用するのが便利だ。ここでは、例としてRed Hat Linux 9でyumコマンドを使用する方法を説明する。 最初にyumのインストールを行う。Red Hat Linux 9の場合、rootでログインして以下のコマンドを実行する。 rpm -ivh http://download.fedora.us/fedora/redhat/9/i386/RPMS.stable/yum-2
USBでデータを家に持ち帰らせたくない ― ＠IT
USBでコピーデータを家に持ち帰らせたくない ～USBストレージ使用制限～：ツールを使ってネットワーク管理（12）（1/5 ページ） うちの会社のソースコードが流出してるみたいなんだけど PtoPアプリケーションを起動できないようにした律子さんの会社では、会社で自由にネットで遊べない雰囲気になってきたせいか、ダラダラと会社で過ごす人がこれまでより心なしか減っているようです。 みんなの効率が急に上がったのかと思ったのですが、どうやらそうではなく、会社のデータを持ち帰って、家でネットで遊びつつ仕事をしているようです。 困ったことですが、規制をするようになったので仕方ないかと偉い人たちにも黙認されています。ですが、やはり、というべきでしょうか、悲しいことに問題が発生してしまいました。 ある日のこと、仕事を終えた律子さんが家で1人魚肉ソーセージをかじりながらカップ酒を飲んでいると、電話がかかってき
Stray Penguin - Linux Memo (Iptables tutorial)
このサイトは、もともと作者の自分用メモとして書き始めたものです。書いてあることが全て正しいとは限りません。他の文献、オフィシャルなサイトも確認して、自己責任にて利用してください。
Windows のパスワードを解析するツール(取扱注意) | alectrope
主にその日遊んだことのメモ、まとめなどの外部記憶。おそらくこれからもずっと準備中。 for mobile : http://alectrope.ddo.jp/mt4i/ ※ 注意。このツールを使用して他人のPC のパスワードを解析する行為は不正アクセス禁止法、あるいはその他の法律(コメント欄参照) で処罰の対象となると思われますので、絶対にそのような用途に使用してはいけません。この記事はそのような行為から自分のPC を守る事を目的としています。 Tech-Security » Ophcrack 2.1 - LiveCD (Linux) & 2.1 Install (Win) http://blog.tech-security.com/?p=15 「Ophcrack 2.1 - LiveCD - にわか鯖管の苦悩日記 ＿|￣|● (2006-02-14)」 より。 Windows のパ
＠IT：インシデントレスポンスはじめの一歩 第1回
攻撃者の侵攻からサイトを守ることの必要性についての認識はここ数年で高い水準にまで向上した。しかし、実際に侵入を発見すること、そしてその事後対応については認識が薄いのが現状である。攻撃者が行うことの代表格としてバックドアの設置があるが、バックドアを検知するためには、バックドアがどのようなしくみで動作しているのか、どのようなしくみで裏口を作成するのか、どのようにしてシステムに埋め込まれるのかといった手法そのものを知ることがまず必要であり、それが防御の第一の方法だろう。 本連載では、まず攻撃者の侵入で仕掛けられることの多いバックドアやトロイの木馬、rootkit（ルート・キット）について解説する。その後、rootkitのしくみを解説し、それを検出するための実践的なオペレーションワーク手順を解説し、理解していただくことを目標とする。読者の方にとって「インシデントレスポンス」の参考としていただければ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA ISEC セキュア・プログラミング講座
A. WEBプログラマコース
安全なWebサイト設計の注意点
Stray Penguin - IptablesチュートリアルURL変更
安全なWebアプリ開発の鉄則 2004