AWSアカウント作成時にやるべきこと - NRIネットコムBlog
Amazon Web Services (以下AWS)の利用開始時にやるべき設定作業を解説します。AWSの利用開始とは、AWSアカウントの開設を意味しますが、より安全に利用するため、AWSアカウント開設直後にやるべき設定がいくつかあります。この連載ではその設定内容を説明します。 AWS Organizationsを使用することで、複数のアカウントに自動的にこういった初期設定を行うことも可能ですが、この連載では新規で1アカウントを作成した場合を前提とします。複数アカウントの場合も、基本的な考え方は同じになります。 設定作業は全１９個あり、作業内容の難しさや必要性に応じて以下３つに分類しています。 少なくともMUSTの作業については実施するようにしましょう。 MUST ：アカウント開設後に必ず実施すべき作業 SHOULD ：設定内容の検討または利用方法を決定のうえ、可能な限り実施すべき作業 B
条件付きアクセスの認証コンテキストを触ってみた
本記事は Azure Tech Advent Calendar 2021 1 日目の記事です。 Japan Azure Identity Support Blog では、お問合せの多い事象へのトラブルシューティング方法や、運用環境でのおススメの構成などサポート情報を中心に案内しておりますが、今回の記事は、プレビュー機能についていろいろと試してみた所謂「やってみた系」の記事です。 認証コンテキスト自体は 2021 年 3 月に Microsoft Ignite で 発表された条件付きアクセス ポリシーの新しい機能ですが、日本語での解説記事が全然出ておらず、個人的にもっと広まってほしいと思い、この機会にご紹介します。 重要 認証コンテキスト機能は、現在 Public Preview での提供であり、プレビュー期間中は作成した認証コンテキストを削除できません。 そのため以下の手順をお試しいただく
Hardening Project 2021 に参加してきた話 - Atrae Tech Blog
こんにちは。People Techカンパニー、アトラエの小倉 (@haaaayhay)です。アトラエではセキュリティ推進者とコーポレートエンジニアをやっています。 この記事は、株式会社アトラエアドベントカレンダー2021年1日目の記事です。 先日、有給を頂いて Hardening Project という外部のセキュリティ演習のイベントに参加してきました。経験や知見を会社に還元するという前提で臨んでいたためこの度記事を書いています。これを読んだ弊社のメンバーが興味を持ってくれるのも嬉しいですし、アトラエのセキュリティ強化をしている人はこんなことを考えているんだなと感じて頂ければ幸いです。 この記事の位置づけ この記事は Hardening Project の存在をご存知ない方や、知ってはいるけど参加されたことがない方向けのものです。 「Hardening って面白そうだな」とか「次は参加して
NISC - サイバーセキュリティ普及啓発・人材育成ポータルサイト
２月１日～３月１８日は「サイバーセキュリティ月間」です。 普及啓発活動へご協力ください。 不審なメールによる情報漏えい被害や個人情報の流出など、生活に影響を及ぼすサイバーセキュリティに関する問題が多数報じられています。 誰もが安心してITの恩恵を享受するためには、国民一人ひとりがセキュリティについての関心を高め、これらの問題に対応していく必要があります。 このため、政府では、サイバーセキュリティに関する普及啓発強化のため、２月１日から３月１８日までを「サイバーセキュリティ月間」とし、国民の皆様にサイバーセキュリティについての関心を高め、理解を深めていただくため、サイバーセキュリティに関する様々な取組を集中的に行っていきます。
Webサービスにおけるログイン機能の仕様とセキュリティ観点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「ログイン機能」の実装パターンをいくつか示し、その「仕様の中で起きうる脆弱性」とその対策について解説していきます。 「ログイン機能」はToB、ToC問わず多くのWebアプリケーションで実装されている機能で、XSSやSQL Injection、Session Fixationといったような典型的な脆弱性の観点については、なんらかの解説を見たことのある方も多いと思います。 しかし、「仕様の脆弱性」というのはあまり多く語られていない印象です。今回はそのようなタイプの脆弱性についての解説を行います。なお、IDaaSを用いずに自前でログイン機能を実装しているケースを複数パターン想定しています。 はじめに ログイン機能の仕様パターンとセキュリティ
米国発のセキュリティマネジメント成熟度の評価モデル「ES-C2M2」の解説書およびチェックシート | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
IPA（情報処理推進機構）は、国内の重要インフラ業界のセキュリティ対策の支援を目的に、米国発のセキュリティマネジメント成熟度の評価モデル「ES-C2M2」（*1）の解説書およびチェックシートを公開しました。 ES-C2M2（Electricity Subsector Cybersecurity Capability Maturity Model）とは 「ES-C2M2」は、米国の電力業界で活用されている、セキュリティレベル向上のためのガイドライン（※）です。 「ES-C2M2」は、米国エネルギー省（DoE）が、米国内電力会社のセキュリティマネジメントを自己評価するために発行したもので、サイバーセキュリティ成熟度モデル（Cybersecurity Capability Maturity Model：C2M2）のひとつです。 本モデルを活用することで、現在取組んでいる対策や手法等の能力レベルの
最新版Log4j 2.17.1ではCVE-2021-44832のリモートコード実行が修正されています - Qiita
本記事は2021年12月28日（米国時間）に公開した英語ブログNew Log4j 2.17.1 fixes CVE-2021-44832 remote code execution but it’s not as bad as it soundsの日本語版です。 事前の予測通り、2021年12月28日19時35分頃（GTM/グリニッジ標準時）、ロギングライブラリLog4jに影響を与える別のセキュリティ脆弱性がCVE-2021-44832として公表されました。 この新しいセキュリティ脆弱性 CVE-2021-44832 は、これまで修正されたと考えられていた 2.17.0 までのバージョンに影響します。この脆弱性は、Log4j の 1.x ブランチに影響を与えた CVE-2021-4104 と性質が似ています。 CVE-2021-44832の影響 もし、Log4jの最新の修正バージョンに速や
セキュリティの立ち上げで何をやる？
最近、セキュリティの立ち上げで何をやったらいいかわからない、という質問を何度か受けるケースがあったので、最初に何をやるか、というのを情シスやセキュリティ担当者としての考えをまとめてみる。 著者のキャリアについて セキュリティの立ち上げについて書く以上、信頼に足る情報源なのか？という疑問がわくと思うので、簡単に著者のキャリアを書いておきます。 2002年にSIerでIT業界に入り、研究所のNetwork Admin、Web penetration test、ISMSコンサルの補佐などやり、その後外資プリセール分野で7年仕事して、最初のSIに戻ってセキュリティソリューションの立ち上げを担当、その後ユーザーサイドにキャリアを変えて、外資石油系企業のセキュリティアナリスト、中国系スタートアップのInfoSec Director&一人情シスをやってきたキャリアです。CISSPは2019年に取得してお
情報セキュリティ、最初に何をやるか？｜Masato Sekiguchi
最近、セキュリティの立ち上げで何をやったらいいかわからない、という質問を何度か受けるケースがあったので、最初に何をやるか、というのを情シスやセキュリティ担当者としての考えをまとめて記事にしてみました。 50人超えてきて、そろそろISMS取得しつつしっかりやりたいんだけど、何をどうやろうか？という人々向け。組織規模がまだ50人未満で最小限度整えたい、という場合は、IPAの出している中小企業向けガイドラインとかで、基本方針作って社員向けのルールを作って教育する、くらいでいいかなあと思いっているものの、ISMS取得して運用しようとするとそれだと足りないので、どんなタスクが必要になるかざっと書きました。
丑三つ時におくるWebAuthnの勘所 - freee Developers Hub
この記事は freee Developers Advent Calendar 2021 の5日目です。 こんばんは。Identity & Access Managementを担当している てらら（id:a_terarara） です。 先日 死霊館 を鑑賞しました。（ホラー注意） この作品は実話から作られたということですが、購入した中古戸建てでポルダーガイストに出くわしたり悪魔にとり憑かれたり中々ハードなお話で最後までハラハラさせてくれました。 その中で、全ての時計が３時７分に止まるという現象があったのをきっかけに今回のAdvent Calendarは丑三つ時にお送りしようと思った次第です。 なお、丑三つ時って３時のことやろって思ってたら実は２時〜２時半のことらしいです。 WebAuthnとの出会い 2021年10月時点の私はWebAuthnに触れたことが無く 「パスワードの代わりに公開鍵を
VTPMを使ってTPMをお試ししてみる - Qiita
TPMとは Trusted Platform Module とは セキュアな暗号プロセッサの国際規格です。 暗号鍵をデバイス内に持つことでセキュアな暗号プロセッサを実現しています。 TPMは通常ハードウェアとして実装されますが、ソフトウェアの実装もあります。TPMの要は暗号鍵がデバイスの中にあることなので、ソフトウェア実装にはあまり利点がなさそうですが、TPMの動作を検証する際には役に立ちます。 なぜTPM? 社内でSPIREを調査・検証することがあったのですが、SPIREはAgentが動作しているマシンのアイデンティティを証明するためにいくつもの方法を用意しています。 その中にはTPMを用いたものもあり、これを使ってみようかな？と思ったのですが、手軽にTPMを使う方法がよくわからなかったので、今回少し調べてみることにしました。 （この記事では、SPIREとTPMを組み合わせるところまでは
コンプライアンスのモダナイズ: リスクとコンプライアンスの管理のコード化 | Google Cloud 公式ブログ
※この投稿は米国時間 2021 年 11 月 13 日に、Google Cloud blog に投稿されたものの抄訳です。 一般に報告されているほぼすべてのクラウドにおける侵害は、基盤となるクラウド インフラストラクチャを不正使用した攻撃ではなく、構成ミスから引き起こされています。構成ミスがセキュリティ リスクの原因であり続けているのは、ほとんどのセキュリティおよびコンプライアンス対策が後から講じられるためです。各種チームが関与するのは CI/CD プロセスの後半になってからなので、構成ミスがビルドプロセス中ではなくランタイム時に特定されるのです。ランタイム セキュリティに頼ることで、開発者とセキュリティ担当者の間に摩擦も生じます。その理由は、ランタイム ツールは本質的に CI/CD プロセスの最後にデプロイされるものであるため、多くの場合、本番環境への移行への最終関門あるいはそれを阻害す
Azure 仮想マシンと Azure Arc マシン（Windows / Linux）のための、マイクロソフト純正のアンチマルウェア・EDR まとめ - Qiita
Azure 仮想マシンと Azure Arc マシン（Windows / Linux）のための、マイクロソフト純正のアンチマルウェア・EDR まとめAzureMicrosoftDefenderForEndpointMicrosoftDefenderForCloud 本記事について マイクロソフトは近年セキュリティに莫大な投資を行ってポートフォリオを広げてきており、特にエンドポイントセキュリティには力を入れています。本稿では、特に Azure に Windows Server や Linux サーバーの仮想マシンを構築するときに OS ごとにどのようなアンチマルウェアや EDR のオプションがファーストパーティで提供されているかを見ていきます。 また、これらの機能は Azure Arc enabled Servers を導入することにより、オンプレミスや AWS, GCP などにあるマシンに
1Password 8 for Windows is here! 🎉 | 1Password
Got a Windows PC? You can now enjoy the modern design, improved productivity, and enhanced security & privacy of the all-new 1Password 8. 🥳 I’m so excited to share 1Password 8 for Windows with you today. We went back to the drawing board and recreated every bit and every pixel to bring you the most modern, productive, and secure version of 1Password yet! Let’s start with the all-new lock screen.
PPAPに対する当社運用の変更について | インターネットイニシアティブ(IIJ)
また、IIJより社外の方へパスワード付きファイルを添付し送信する場合においても、今後順次別の手段へ変更いたします。 上記の変更にともない、ファイルを共有するための別の手段を用意し、移行いたします。その利用につきましては、お客様、お取引先様に、個別にご連絡を差し上げます。 変更に至った背景 メールにパスワード付きのzipファイルを添付して送信し、そのパスワードを後送する「PPAP」は、日本において多く見られる情報セキュリティ対策の一つですが、効果が薄いだけでなく、ウィルススキャンをすり抜けてしまうことから、米国のサイバーセキュリティ・インフラセキュリティ庁においてもブロックすることが推奨されています。 この仕組みを悪用したマルウェアは今後も発生することが予想されることから、当社だけでなく、お客様、お取引先様よりお預かりする情報を守るためにも、対応が必要との考えに至りました。 当社のお客様、お
Microsoft Defenderを眺めてると「もう全部あいつ一人でいいんじゃないかな」という気分になる
はじめに 先日のIgniteでまたもやMicrosoftのセキュリティ製品の名称が代わりました。今年に入って、2回！！ ただ、今回の名称変更はAzureと言う名前をMicrosoftと変える事で 「Azureに限定した製品ではなくハイブリッドクラウド/マルチクラウド対応」 という点を強く押し出した意図も想像できます。最近のMSのセキュリティ製品は例えばEDRもMacやLinux, Android/iOSに対応していますし、マルチクラウドをサポートしているものも多いので、自分の整理を兼ねてまとめてみました。全体的にここ最近名称変更が入ってるので旧名称も入れています。 Microsoft Defender + αの一覧 Windowsの固有の機能から、独立したエンドポイントセキュリティ製品、サーバサイドの製品までMicrosoft Defender の名前が使われてるので知らないとちょっとやや
[2021年版]AWSセキュリティ対策全部盛り[初級から上級まで] というタイトルでDevelopersIO 2021 Decadeに登壇しました #devio2021 | DevelopersIO
[2021年版]AWSセキュリティ対策全部盛り[初級から上級まで] というタイトルでDevelopersIO 2021 Decadeに登壇しました #devio2021 DevelopersIO 2021 Decadeで登壇した動画や資料を掲載、解説をしています。AWSのセキュリティについて網羅的に扱っています。ちょー長いのでご注意を。 こんにちは、臼田です。 みなさん、AWSのセキュリティ対策してますか？(挨拶 ついにやってまいりました、DevelopersIO 2021 Decade！私は「[2021年版]AWSセキュリティ対策全部盛り[初級から上級まで]」というテーマで登壇しました。 動画と資料と解説をこのブログでやっていきます。 動画 資料 解説 動画はちょっぱやで喋っているので、解説は丁寧めにやっていきます。 タイトル付けの背景 今回何喋ろうかなーって思ってたら、2年前のDeve
![[2021年版]AWSセキュリティ対策全部盛り[初級から上級まで] というタイトルでDevelopersIO 2021 Decadeに登壇しました #devio2021 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/675b9f7ba022b69269412062d62e4128f16d5b33/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2021%2F10%2F2021_aws_security_all_1200_630.jpg)
How to secure your Kubernetes cluster on Google Cloud - セキュアなGKEクラスタのつくりかた
2021年10月14日 Google × mercari に学ぶ！Kubernetesの活用法とセキュリティ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サイバーセキュリティ対策かるた一覧 | サイバーセキュリティお助け隊サービス | IPA
[2021年版]AWSセキュリティ対策全部盛り[初級から上級まで]![[2021年版]AWSセキュリティ対策全部盛り[初級から上級まで]](https://cdn-ak-scissors.b.st-hatena.com/image/square/ad5ef06e544c41ba705f887120c121b38dbfccc4/height=288;version=1;width=512/https%3A%2F%2Ffiles.speakerdeck.com%2Fpresentations%2F95792f1ff5e147a5a32804b5ef5d1fd8%2Fslide_0.jpg%3F19221817)
