米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ
米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ 米ホワイトハウスの国家サイバー局長室（The White House Office of the National Cyber Director：ONCD）は、サイバー空間における攻撃対象領域を積極的に削減する目的で、テクノロジーコミュニティやソフトウェアコミュニティに対してメモリ安全（Memory Safe）なソフトウェアの実現を積極的に呼びかけるプレスリリース「Future Software Should Be Memory Safe」（将来のソフトウェアはメモリ安全になるべき）を発表しました。 プレスリリースの中で、国家サイバー局長Harry Coker氏は「私たちは国家として、サイバースペースにおける攻撃対象領域を減らし、あらゆる種類のセキュリティバグがデジタルエコシステムに
SSHブルートフォースログイン攻撃を防ぐ基本的な対策
Sucuriはこのほど、「How to Prevent SSH Brute Force Login Attacks」において、SSHブルートフォースログイン攻撃を防ぐための基本的なセキュリティ対策を紹介した。 How to Prevent SSH Brute Force Login Attacks SSHブルートフォース攻撃は、UNIXベースのサーバ上で安全なリモート接続のために使用されるSSHサービスを標的にするサイバー攻撃の一つ。攻撃者は自動化されたツールやボットを使用し、一般的なユーザー名とパスワードの組み合わせを継続的に試行してサーバへのアクセスを試みる。SSHログインの試行回数が多すぎる場合、SSHサーバがブルートフォース攻撃の標的になっている可能性は高い。 SSHブルートフォース攻撃を行う攻撃者の動機はさまざまとされ、貴重な財務情報やファイルへの不正アクセス、サービスの妨害、他
PCI DSSバージョン4.0について - ROBOT PAYMENT TECH-BLOG
こんにちは、開発統括室ペイメントシステム課マネージャーの戸田です。 前回 、決済システムの開発・構築・運用に深く関わるPCI DSSについて紹介いたしましたが、このPCI DSSはバージョンによって要件が多少異なっております。 現在弊社はバージョン3.2.1に準拠しておりますが、PCI DSS自体は2022年3月にバージョン4.0にメジャーバージョンアップされました。 今回はバージョン4.0リリースの影響と我々の取り組みについて少しご紹介したいと思います。 バージョン3.2.1とバージョン4.0について 主な変更点 機密認証データの扱い 暗号化 フィッシング攻撃への対策 公開用WebアプリケーションへのWAF導入 決済ページスクリプトの管理 パスワード関連 カード会員データ環境へのアクセスのMFA実装 監査ログレビュー 内部脆弱性スキャン リスク分析 バージョン4.0に向けた取り組み バー
PCI-DSSちゃんと守ってないとかマジでヤバい - novtanの日常
www.meti.go.jp 金融系やっている人や決済周りやってる人なら常識かと思いますが、クレジットカード情報を扱うプラットフォームに関してはかなり厳しい規制があります。 https://ja.pcisecuritystandards.org/minisite/env2/ これの基準を満たしていることがクレジットカードを取り扱うシステムである最低条件になっているわけです。これすげーめんどくさいし、コストも掛かるんだけど、消費者を守るためだし、決済ネットワーク使わせてもらうことでサービスが提供できるんだからちゃんとやるの当たり前のことですよね。これちゃんとやらないってのはもう闇金業者みたいなもんですよ。 まあ、審査どうなっとんじゃいって話ではあるんだけど、審査って言ってもプラットフォームの設定を直接確認したりとかソースコードを直接確認したりとかまではしないわけで、求められている要件を「チッ
ビデオ会議中、マイクが“ミュート”でも音が取得されている問題 米国チームが検証
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米University of Wisconsin-Madisonと米Loyola University Chicagoの研究チームが発表した「Are You Really Muted？: A Privacy Analysis of Mute Buttons in Video Conferencing Apps」は、一般的なビデオ会議アプリにおいて、マイクをミュートにしている状態であっても音を取得できる可能性を指摘した論文だ。 結果は、全ての主要なビデオ会議アプリに対し、ミュート時でもやろうと思えば音を取得できる状態であることが示された。さらにWebexに関しては、マイクのミュートのオン／オ
AWS 診断を事例としたクラウドセキュリティ。サーバーレス環境の不備や見落としがちな Cognito の穴による危険性 - Flatt Security Blog
こんにちは。本ブログに初めて記事を書く、株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド周りの調査、Twitter ではご飯の画像を流す仕事をしています。よろしくお願いします。 クラウドサービスが発展し続ける今日この頃、多くの企業がパブリッククラウドやプライベートクラウドなどを駆使し顧客へサービス提供しているのを目にします。そのような中で、サービスが利用するクラウドにおいて設定不備や意図しない入力、構成の不備により顧客情報や IAM をはじめとする認証情報が脅かされるケースが多々あります。 本記事では、そのような脅威の一例をもとにクラウドサービスをより堅牢で安全に利用する一助になればと、攻撃手法や対策などについて解説をしていきます。 また、私の所属する 株式会社 Flatt Secur
コンテナ・セキュリティ入門 脆弱性 - Qiita
コンテナイメージのレジストリでは、脆弱性検査の実装が当たり前になっている。企業でKubernetesなどコンテナを使用するにあたって脆弱性対策がどれほど重要なものか理解するために、脆弱性検査や、関連する国際的な標準について整理した。 脆弱性（ぜいじゃくせい）とは 脆弱性とは、プログラムの動作の不備を悪用される情報セキュリティ上の弱点である。つまり、ソフトウェア上の問題が原因となって生じた欠陥であり、セキュリティホールとも呼ばれる。当然、ソフトウェア開発者は、脆弱性を産まないように細心の注意を払ってコード開発を進めるが、開発者が利用するオペレーティングシステムのライブラリやパッケージに含まれることもある。そのような事情から、開発者の責任範囲外に原因がある場合も多くある。 潜在的な脆弱性を突いた新たなクラッキングの手口が、時間の経過ともに発見される。そのことから、開発当初はコードに脆弱性は無い
10分でわかる！Key Management Serviceの仕組み #cmdevio | DevelopersIO
こんにちは、虎塚です。 先日のCM re:Growth Developers.IO Meetup 11 Tokyo で「10分でわかるKey Management Serviceの仕組み」という発表をしました。今日は、イベントに参加されなかった方がご覧になっても内容が伝わるように、発表内容を記事に起こしてみました。 はじめに Key Management Service（KMS）は、先月開催されたre:Invent 2014で発表された新サービスです。すでに全リージョンで利用できます。このサービスを使うと、データの暗号化/復号用の鍵をAWS上で管理できます。 ところで、KMSのAPIドキュメントを流し読みすると、マスターキーとデータキーという言葉が出てきます。そうです、KMSが扱う鍵は2種類あるんですね。 2つの鍵の違いは何か？ どう使い分けるのか？ などが、ぱっと見ではわかりづらいかもし
Pマークの審査基準で「パスワードの定期的な変更」は廃止へ〜JIPDECが素早い対応〜 : プライバシーマーク・ISMSナビ
プライバシーマーク・ISMSナビ プライバシーザムライが、プライバシーマーク／個人情報保護、ISMS／情報セキュリティの最新情報をお届けします。 （画像はJIPDECのWebサイトより） 皆さんこんにちは。 プライバシーザムライことオプティマ・ソリューションズの中康二です。 先日、「パスワードの定期的な変更」は廃止へ〜情報セキュリティの常識が変わる〜という記事を掲載しました。 米国NISTのガイドライン見直しを受けて、日本のNISCや総務省も正式に方針を転換し、長らく続いてきた「パスワードの定期的変更は必要なのか」という議論に終止符が打たれたという内容でした。 この流れを受けて、プライバシーマークの審査基準にも早速見直しが入りました。 プライバシーマーク制度を運営している一般財団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク推進センターは、4月10日付で、プライバシーマーク
Pマーク発行機関も「パスワード定期変更は不要」 - 日本経済新聞
個人情報を適切に扱う事業者に与えられる「プライバシーマーク（Pマーク）」を発行する一般財団法人の日本情報経済社会推進協会（東京・港）は10日、認定時の審査基準を改定し、インターネット利用時のパスワードの定期的な変更を不要にする方針を示した。総務省などの方針転換に対応した。Pマークを取得済みの約1万5千社・団体でも同様の動きが広がりそうだ。同協会が見直したのは企業が顧客らの個人情報を適切に扱って
パスワード「頻繁に変更はNG」 総務省が方針転換 - 日本経済新聞
定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述
エミレーツ航空の予約システムに存在する致命的なセキュリティ問題が発覚
ネットショッピングや飛行機の搭乗予約などの手続きの多くは、インターネット上で行われることが主流になってきています。その際には氏名や住所などの個人情報をオンラインシステムに入力することになるので、当然ながらシステム側は絶対に個人情報が漏れない仕組みを準備することが求められます。しかし、ソフトウェアエンジニアのコナーラク・モディ氏によると、エミレーツ航空のオンライン予約システムには欠陥があり、2018年3月3日(土)時点でも悪用可能な状態であることが確認されているとのことです。 How Airlines don’t care about your privacy: Case Study Emirates.com https://medium.com/@konarkmodi/how-airlines-dont-care-about-your-privacy-case-study-emirates
S3のデータを機械学習で自動分類する「Amazon Macie」発表
Amazon Web Servicesは8月14日に開催された「AWS Summit 2017 New York」において、機械学習を用いた新セキュリティサービス「Amazon Macie」を発表した。 Amazon Macieは機械学習によって、Amazon S3のバケット内にあるデータから個人情報や機密情報を特定し、データの侵害や情報漏えいを防ぐセキュリティサービス。S3バケットへのリクエストとCloudTrailイベントを確認し、新しいオブジェクトの分類をほぼリアルタイムで行なえるという。 分類作業においては、過去のパターンやデータに対するユーザー認証、アクセス場所、時間などを把握。これらのアクセスパターンを動的に分析する予測分類アルゴリズムも利用し、学習によって疑わしいふるまいの可能性を知らせてくれる。また、CloudWatch EventsやLambdaによってレポートされた問題
アメリカでIoTデバイスのサイバーセキュリティ基準に関する法案が提出された | IoT NEWS
IoTNews Global 続々と発表されるサイバーセキュリティ問題に影響を受けて、アメリカの両党代表は行政機関が購入するインターネットにつながっている（IoT）デバイスに対して最低限のサイバーセキュリティ運用基準を策定する法案を提案した。 法案によると、IoTデバイスを提供しているコントラクターがデバイスのソフトウェア、ハードウェアやファームウェアには既知の脆弱性がないことを証明する書類を提供しなければいけなくなる。さらに、デバイスに入っているソフトウェアやファームウェアはベンダーが認証しているアップデートを許可しており、通信などに廃止されてない産業基準プロトコル、ネットワークトラフィック用の基準ポート、暗号化などの技術仕様を求める。また、遠隔管理、アップデート提供や通信に規定やハードコード承認を使用している機械は認められない。 もし、新しい脆弱性が発見された場合、コントラクターは一刻
GDPR適用開始で「サイバーセキュリティ保険」の保険料が増える？
関連キーワード 情報漏えい対策 | 情報漏えい | プライバシー | 個人情報保護 GDPR順守に向けて企業がやるべきこととは 欧州連合（EU）の「一般データ保護規則」（GDPR）が2016年5月24日に発行し、2018年5月25日に適用開始となる。EUに暮らす個人に関するデータを保持する世界中の企業には、GDPRの順守を始めるまで後1年しか残されていない。GDPRを順守しなければ、最大で前年度売上高の4％か、2千万ユーロのどちらか多い方が罰金として科される。 GDPRの順守は、企業がGDPRの保護対象となるデータ（EUに暮らす個人に関係する情報）を特定し、そのデータが不正に開示されないよう保護することを意味する。またGDPRの適用対象となる人々に対して自らのデータを確認、管理できるようにしながら、GDPRの下で、人々の過去の情報に対する「忘れられる権利」を守れるようにしなければならない。
EU一般データ保護規則（GDPR）への対応支援
個人情報保護のための法令・規制アセスメントまで、全般的なプライバシー保護コンサルティングサービスを提供 EUの一般データ保護規則（GDPR）概要や適用範囲、日本企業が対応すべき事項を解説するとともに、GDPR対応を合理的に進めるためのアプローチやPwCの関連サービスを紹介します。 GDPRとは 2018年5月25日施行されたGDPRは、個人のプライバシーの権利の保護と確立を目的としています。EUに在住する個人のデータを管理および保護するためのさまざまな要件を定めています。企業の所在地にかかわらず、EUに在住する個人のデータを扱うあらゆる企業・組織がGDPRの適用対象となります。違反者は巨額の制裁金を科せられるため、速やかな対応が必要です。 EUデータ保護指令が、各国の法規制整備を求める指令（Directive）であったのに対し、GDPRは規則（Regulation）となったため、全てのEU
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft、セキュリティ分析ツール「Attack Surface Analyzer 2.0」を無償公開／検査対象となるアプリの導入前・導入後でシステム状態を比較、攻撃面を洗い出す
Engadget | Technology News & Reviews
「他のセキュリティ対策ソフトはもういらない」とアピールするWindows Defenderの現状
Apache Ranger の話 · GitHub