個人ユーザーに有料ウイルス対策アプリは必要か--OS標準機能の進歩と標的の変化
米商務省は6月、Kaspersky製ソフトウェアの禁止を発表した。米ZDNETに寄稿するLance Whitney氏が報じたように、Kasperskyは米国時間9月29日から、禁止された製品のウイルス対策シグネチャーの更新とコードの更新を米国の顧客に提供できなくなった。同社は100万人の顧客をあまり知られていない代替製品に移行させる措置まで講じた。 そのニュースを読んで、筆者は誰よりもショックを受けた。1999年にタイムスリップするボタンを誰かが誤って押してしまったのだろうか。サードパーティー製ウイルス対策ソフトウェアにお金を払っている人がまだいるというのか。 数字で見るウイルス対策ソフトウェア Security.orgが先頃実施した調査で、米国市場について信頼できる数字が明らかになった。約54％の米国人がデバイスに標準搭載されたウイルス対策プログラムを使用しており、46％がサードパーティ
GitHubの削除されたリポジトリや非公開のリポジトリに誰でもアクセスできてしまうのは仕様通り
GitHubでは削除されていたりプライベートに設定されていたりするフォークやリポジトリに誰でもアクセスでき、さらにその動作が欠陥ではなく仕様通りであるとオープンソースセキュリティ企業のTruffle Securityがブログに投稿しました。 Anyone can Access Deleted and Private Repository Data on GitHub ◆ Truffle Security Co. https://trufflesecurity.com/blog/anyone-can-access-deleted-and-private-repo-data-github GitHubでの一般的なワークフローとして、「新しいフォークを作成する」「コミットする」「フォークを削除する」というものを考えてみます。 この時、削除したはずのフォークの中身を誰でも確認できてしまうとのこと。
macOSの暗号化zipファイルはパスワード無しで解凍できる - NFLabs. エンジニアブログ
はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本
【実録】攻撃者のお気に入り API 10選 | DevelopersIO
AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 はじめに 弊社オペレーションチームでは、AWS よりお客様アカウントの侵害疑いの連絡を受けた際に、状況確認のため CloudTrail を調査しています。本記事では調査で気づいたことをいくつかお伝えできればと思います。 仮想通貨のマイニングを例とすると、攻撃者は自分たちの IAM ユーザーを作り、とにかく「ハイスペックなインスタンス」をとにかく
Dockerfileのベストプラクティス Top 20
本文の内容は、2021年3月9日にÁlvaro Iradierが投稿したブログ(https://sysdig.com/blog/dockerfile-best-practices/)を元に日本語に翻訳・再構成した内容となっております。 Dockerfileのベストプラクティスのクイックセットをイメージビルドに適用することで、セキュリティ問題を防ぎ、コンテナ化されたアプリケーションを最適化する方法を学びます。 コンテナ化されたアプリケーションやマイクロサービスに精通している人なら、自分のサービスがマイクロサービスであることに気づいているかもしれません。しかし、脆弱性の検出、セキュリティ問題の調査、デプロイ後の報告や修正など、管理のオーバーヘッドがマクロな問題になっています。 このオーバーヘッドの多くは、セキュリティをシフトレフトし、開発ワークフローの中で可能な限り早く潜在的な問題に取り組むこ
PHPの危い関数リスト
Last Updated on: 2019年2月2日一応、PHPの危い関数リスト、は存在します。例えば、以下のような物があります。 StackOverflow DangerousPHPFunction 後者は主にホスティング環境（？）でリスクがある関数の一覧を作るプログラムのようです。 ファイルを操作する関数、コマンドやスクリプトを実行する関数などのリスクは自明だと思います。少し趣向を変え、間違えて使うと危い関数の一覧を独断と偏見で作ってみました。 【重要】こういった「危険な物」を定義するのはブラックリストです。ブラックリストは仕組的に危険です。ブラックリストに頼るのは脆弱性を作るような物です。ブラックリスト”だけ”で安心しないでください。最後にどうすれば良いのか？を書きます。 hash_hkdf() hash_hkdf()は秘密鍵から実際に利用する鍵を導出する関数です。鍵を作る関数なので
10 Docker Security Best Practices | Docker Best Practices | Snyk
ProductsProducts What is Snyk? Developer-first security in action
コンテナはなぜ安全（または安全でない）なのか - sometimes I laugh
CVE-2019-5736を覚えていますか？今年の2月に見つかったrunc（Dockerがデフォルトで利用しているコンテナのランタイム）の脆弱性で、ホストのruncバイナリを好き勝手にコンテナ内部から書き換えることができるというものです。 脆弱性の仕組みに興味があったので調べたところ、コンテナを攻撃する方法というのは他にもいろいろあって、runcは頑張ってそれを塞いでいるようです。これまとめると面白いかも、と思ったので以下のようなおもちゃを作りました。 Drofuneは簡単なコンテナランタイムです。drofune runとかdrofune execなどでコンテナを起動したり、入ったりすることができます、といえば想像がつくでしょうか。 これだけでは何も面白くないので、Drofuneはわざと安全でない実装になっています。なので、今回発見されたCVE-2019-5736を利用した攻撃も成立します
全社的に会社用GitHubアカウントを廃止した件 - ZOZO TECH BLOG
はじめまして。2019年1月に入社したSREスペシャリストのsonotsです。最近MLOpsチームのリーダーになりました。今回の記事はMLOpsの業務とは関係がないのですが、3月に弊社で実施した会社用GitHub個人アカウントの廃止について事例報告します。 TL;DR 会社用GitHubアカウントを作るべきか否か問題 会社用GitHubアカウントの利用で抱えた問題 1. OSS活動時にアカウントを切り替える必要があり面倒 2. GitHubの規約に準拠していない 会社用アカウントを廃止した場合にセキュリティをどのように担保するか GitHubのSAML single sign-on (SSO)機能について 会社用アカウントの廃止およびSSO有効化の実施 会社用GitHubアカウントを使い続ける場合 私用GitHubアカウントに切り替える場合 Botアカウントの場合 Outside Coll
ヤフーのエンジニアが教える! アプリ開発で気をつけたいAndroidのセキュリティ(3) HTTPS通信を実装して終了...は甘い、もう一段上の暗号化術
Yahoo! JAPANが提供するYahoo!ウォレットのAndroidアプリを開発している二階堂 遍です。 近年、街中の至る所でフリーWi-Fiを利用できるようになり、ユーザーがリッチコンテンツを屋外で楽しむ機会が増えています。ただし不用意にフリーWi-Fiに接続していると「通信内容を第三者に覗き見される」というリスクがあることも忘れてはいけません。 Yahoo!ウォレットではクレジットカードなどセキュアなユーザー情報を扱うため、通信データを覗き見されないようにHTTPS通信を利用しています。またYahoo! JAPANでは、全社的に常時SSL(AOSSL)を行っており、ユーザーの情報が外部に漏れないように配慮・対策を進めています。 Androidアプリにおいて、暗号化しない通常のHTTPで通信すると、覗き見によってAPI通信用のトークンが盗まれ、APIを通してアプリ利用者の個人情報など
How to Harden your Ubuntu 18.04 Server
Although Linux is considered to be secure out of the box, it is advisable to follow the industry’s best method to secure your server. For instance, you need to update the software applications regularly, use strong passwords and install a strong firewall to safeguard your system from hackers. If you are running Ubuntu 18.04 LTS (Bionic Beaver), on a Linux VPS, you can take advantage of different k
エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
Railsのセッション管理方法について - （2015年までの）odaillyjp blog
セッション管理はWebアプリケーションを開発・運用するときに必ず関わってきますので、ある程度知っておかなければいけないことかと思うのですが、Railsのセッション管理について解説している資料が少ないように思えました。私もRailsのセッション管理についてあまり知識がありませんでしたので、簡単にですがまとめてみました。 なお、今回のエントリはセッション管理の大雑把な仕組みについて知っていることを前提にして進めていきます。セッション管理の仕組みについてご存知ない方は、『体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践』という書籍での説明がわかりやすかったので、そちらをご一読されると良いかと思います。 Railsのセッション管理方法 Railsでは、config/initializer/session_store.rbファイルにセッションの管理方法を指定します
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
npmjs.com で著名ソフトウェアによく似た名前のマルウェアが大量に発見された - Islands in the byte stream
Malicious packages in npm. Here’s what to do | Ivan Akulov’s blog People found malicious packages in npm that work like real ones, are named similarly real ones, but collect and send your process environment to a third-party server when you install them 訳: 悪意のあるパッケージがnpmで発見された。それらは、実際のパッケージによく似た名前で同じように動くが、パッケージのインストール時にプロセスの環境変数を外部のサーバに送信する。 発見されたパッケージの一覧は元エントリをどうぞ。このようなマルウェアである偽パッケージの一例をあげると、 ba
バグハンター・にしむねあ氏特製“脆弱性たっぷり”Webアプリを半日でどこまで「堅牢化」できるか？ - はてなニュース
2017年7月某日の朝9時、デジタルコンサルティング事業などを手がけるSpeeeのオフィスにエンジニアたちが続々と集まってきた。エンジニアたちに向けて提示されたのは、リクルートテクノロジーズ シニアセキュリティエンジニアの西村宗晃氏（にしむねあ氏）いわく「Ruby on Railsで頑張って書いた、脆弱性てんこもりのソーシャルメディアアプリケーション」。そこから半日かけてそのソースコードを修正し、どれだけ堅牢化できるかに取り組むユニークな勉強会が行われた。 （※この記事は、株式会社リクルートテクノロジーズ提供によるPR記事です） クロスサイトスクリプティング（XSS）やSQLインジェクション、ディレクトリトラバーサルといったWebアプリケーションの脆弱性について、知識としては知っているエンジニアが大半だろう。だがこの勉強会では、にしむねあ氏がGitHubで公開したソースコードを目で見て確認
攻撃者の心理 Kali Linux紹介 1
タグ 放火EC-CUBEアンチウィルスGitAnsibleConoHa VlanWindows ServerLaravel海外求人貧困教育バグトラッキングDrupalLarabelgoofysRTX1200躾お土産インストール予防接種Active DirectoryベンチマークVagrantゆるいハッキングRedisLogstashジェネリック、コピー無利子ジェネリック家具、ＤＦＶNginxリカバリBINDVirtualBoxAWS EFSfluentdKibanaKubernetes熊本奨学金エクセル、小技、文字列操作日本工学院OpenCVApacheRTX1210XAMPPALBゆるいハッキングセミナー防災地震時計CloudFrontAmazon WorkSpacesAWS S3SWX2200xdebugELBセミナー小技子供ExcelブラックサンタIDCFクラウドMastodonCl
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Secure Ubuntu 18.04 server setup - Dennis' Notes
Secure Nginx with Let's Encrypt on Ubuntu 18.04
Rails4でsession storeをActiveRecordに変更
