SCADAシステムに未修整の脆弱性情報、34件公表 - ITmedia エンタープライズ（情報元のブックマーク数） - ripjyr's blog
SCADAシステムの脆弱性情報が34件公開されているとのこと。 産業インフラなどの制御に使われるSCADAシステムの脆弱性情報が、コンセプト実証コードと併せて公開された。ロシアのセキュリティ企業Kaspersky Labがブログで伝えた。 Kasperskyは今週初め、SCADAシステムの未修整の脆弱性情報34件がセキュリティ情報サイトに掲載されたのを確認したという。侵入テスト用にSCADエクスプロイトパッケージが発売されたとの情報もあるという。 SCADAの脆弱性は、独Siemensのシステムを狙ったマルウェア「Stuxnet」が昨年出現したことで脚光を浴びた。未修整の脆弱性情報やコンセプト実証コードが公開されるケースは最近急増しているといい、信号や電力網、空港管制システムなどの基幹インフラを担うSCADAシステムへの関心が依然として高いことがこれではっきりしたとKasperskyは解説
New ISC Tool: Whitelist Hash Database（情報元のブックマーク数） - ripjyr's blog
NISTがホワイトリストハッシュデータベースを公開しているそうです。これはすごい！ NIST is publishing a regularly updated set of CDs with hashes for a number of software packages. The "National Software Reference Library" (NSRL) [1] is frequently used for forensics to eliminate unaltered standard files from an investigation. However, I feel that this database also has a lot of use for malware analysis. Anti-malware software usually takes
アカマイがクラウドにWAFを実装して提供 − ＠IT（情報元のブックマーク数） - ripjyr's blog
AkamaiがWAFを導入とのこと。 アカマイは5月20日、同社が全世界に配置しているコンテンツ配信用プラットフォーム「Edge Platform」の機能を拡張し、Webアプリケーションファイアウォール（WAF）モジュールを搭載することを発表した。これにより、データセンターに置かれているオリジナルのサーバに届く前に、クラウド側で攻撃を検出、ブロックできるという。 アカマイがクラウドにWAFを実装して提供 − ＠IT 基本はスーバーブラックリスト防御方式みたい。IPアドレスによる拒否とブラックリストシグネチャみたい。 新たに提供されるWAFモジュールも、このEdge Platform上に実装される。IPアドレスに基づいてネットワークレベルでサーバを保護するだけでなく、SQLインジェクションやクロスサイトスクリプティング、プロトコル違反といった、さまざまなアプリケーションレベルの攻撃からサーバ
Webエンジニア武勇伝 第2弾 歌代和正 氏| 株式会社ウェブキャリア（情報元のブックマーク数） - ripjyr's blog
歌代さん、焼肉に惹かれたに一票ｗｗｗ（嘘 あの、憧れの歌代さんのインタビューです！！！ 第2回の今回は、jcode.plの開発者でもあり、日本初のインターネット接続のプロジェクトやIIJの立ち上げにも参加した歌代和正さんに、新宿の焼肉屋「六歌仙」でお話をお聞きしました。 http://www.web-career.com/contents/buyuden/2.html 歌代圧倒！のっけから勝利！ 川井: こんばんは。今夜はWebエンジニアの武勇伝というコーナーの取材をお願いしたいと思います。よろしくお願いいたします。 歌代: 依頼をうけたときから言っているのですが、僕はWebエンジニアではありません。あえていえばコンピューターエンジニアというのが一番近いかと思いますが、それでもよろしいですか？ 川井: 勿論、okです。ちなみに歌代さんのおっしゃるコンピュータエンジニアというのは具合的にはど
第01回まっちゃ４４５勉強会に参加してきました - hnwの日記（情報元のブックマーク数） - ripjyr's blog
hnwさん、参加いただいてありがとうございます。そして、目覚まし勉強会のLT本当にありがとうございました。 内容的に、XHRとJavascriptを使ったクロスサイトスクリプティングの攻撃方法ですが、これやられるとユーザは気づかないし、情報ブッコ抜かれますね。 クロスサイトスクリプティング的に、説明が変わるかもしれないプレゼンです。 以前にPoCとして国分さんがやられた似たようなデモはありましたけど 朝10:30からLTの枠があって、「XSS脆弱性に対しXHRを用いた攻撃」という題名で僕も15分ほど喋りました。内容としては「XSSに対してXHRを使えば夢が広がりんぐ」ということで、あんまり他の人が主張してるのを見た事が無いので新ネタかもしれないけど、とりあえずセキュリティ界隈の人に斬ってもらおうと思って喋ってみました。 資料: http://hnw.sakura.ne.jp/documen
第01回まっちゃ４４５勉強会 - ripjyr's blog
言及いただいた参加者の記事 第01回まっちゃ４４５勉強会 - うさぎ文学日記 第01回まっちゃ４４５勉強会に参加してきました - hnwの日記 田園調布駅近く。手作りのクリームチーズケーキ、ベイクドチーズケーキの販売。店舗案内。キヨヒサが運営。（情報元のブックマーク数） - まっちゃだいふくの日記★とれんどふりーく★ 野良クエスト 2008-08-24 東京（聖地PiO）において、情報セキュリティ勉強会を開催します。 まっちゃ４４５勉強会は、まっちゃ１３９勉強会とは別組織で運営していきます（会計、スタッフともに別になります）*1 まっちゃ４４５は、毎月東京にて情報セキュリティの勉強会を開催します！ 日付 2008年08月23日（土曜日） 時間 13時00分〜16時30分 場所 大田区産業プラザC会議室 住所 東京都大田区南蒲田1-20-20 大田区産業プラザ（京急蒲田駅東口より徒歩3分）
ModSecurity Blog: XSS Defense HOWTO - ripjyr's blog
ふむふむ、mod_securityでクロスサイトスクリプティングを防ぐための方法を考えると。 Without any planning (so please forgive any omissions), I am now going to write how to produce web applications that are safe against XSS and other injection attacks. http://blog.modsecurity.org/2008/07/do-you-know-how.html UTF-8系の話が弱いなぁ。 Identify all system components other than the application itself. In a typical web application you will have at le
Quick tips for Web application security - Network World - ripjyr's blog
（Security Entries by Date - (CGISecurity.com)経由） 海外系でのWebアプリなセキュリティ対策のTIPSらしい。 Tip 1: Don't trust, authenticate. Tip 2: Keep a low profile. Tip 3: Use misdirection and misinformation beyond reducing information exposure. Tip 4: Forcefully deny bad requests. Tip 5: Sanitize user requests and inputs Tip 6: Monitor and test continuously. Tip 7: Prepare for the worst. Tip 8: Cross the developer-admini
XSS Methods Also Seen Being Used in Mass Compromises | TrendLabs | Malware Blog - by Trend Micro - ripjyr's blog
昨今のXSSの使われ方。XSS祭り？！ｗ（違 I want to shed some light again on XSS because although it has been around for a long time, it has neither become less of an attractive attack method, nor has a fool-proof solution against it has been properly formulated. XSS vulnerabilities can cause a variety of problems for the casual web surfer. These problems range in severity from mere annoyance to complete credential
PCI DSS compliance: Web application firewall or code review? - ripjyr's blog
つ id:ikepyonｗ（Security Entries by Date - (CGISecurity.com)経由） 結局は、WAFかコードレビューか、ツールかみたいになってるみたいですね＞PCI DSS On June 30, Requirement 6.6 of the Payment Card Industry (PCI) Data Security Standard (DSS) -- whose goal is to ensure that Web-facing applications are protected against known attacks by either completing a code review or installing a Web application firewall (WAF) -- moves from a best practic
進行を妨たげる人に対処する（やじゅ＠アプリケーション・ラボ わんくま支局） - ripjyr's blog
さて、あの人は演説系であるので、褒め称えながら話を持っていくとよいのだろう・・・それにしてもあのプレゼンはなぁ・・・ 「演説系」への対処法 意見を褒めたたえながら、話の腰を折る 「演説系」の人は総じて、人に認められたいという欲求が強いので、 褒めたたえながら話の腰を折るようもっていく。 「敵対系」への対処法 人同士ではなく意見の対立に転換する 感情的対立は、その場では解消しにくいので、感情的にではなく、論理的な理由 があって意見が対立している別の人に話を振り、議論の矛先を変えてみる。 「屁理屈系」への対処法 意見を評価したうえで、冷静にジャッジ 「屁理屈系」の人は、プライドが高く論理に強いことが多いので、視点の鋭さを 褒めたうえで、その人の意見については、議論する必要性が乏しいことを 論理的な理由を付けて指摘するとよい。 「沈黙系」への対処法 議論と仕事の接点を示し、思考を促す 意欲が足り
ITSSは大企業では6割、中小では1割が採用〜IPA − ＠IT - ripjyr's blog
小さな会社ではITSSどころじゃーないってことですな。 大企業で６割も普及しているところに驚きです・・・・！ IPA ITスキル標準センターセンター長の丹羽雅春氏は、「ITスキル標準は発表から5年4カ月が経過し、幅広く浸透してきた。調査結果によると、大企業では6割の企業がすでに採用しており、大企業以外の企業を入れても約8割が導入を検討しているレベルにまで普及してきている。一方の中小企業では10％程度しか浸透していない。今後はこの点を強化していく。例えば、地方でITスキル標準を活用した成功例などを紹介して、中小企業にも役立つことをアピールしていきたい」とコメント。IT スキル標準が大企業で浸透してきている一方で中小企業ではまだまだであり、今後力を入れていくと説明した。 ITSSを海外展開ですか！ また、今後のITスキル標準の方針についてIPA IT人材育成本部 本部長松田晃一氏は、「いまや、
ha.ckers.org web application security lab - Archive ≫ IE8.0 US-ASCII and Other Stuff - ripjyr's blog
なんか動きがFireFoxとIEで違うそうだ・・・詳しくは理解出来ない・・・ I’ve found a discrepancy between IE and Firefox that I think is worth noting. Most of the time this isn’t an issue but most web-pages decode Unicode inputs, so the fact that Firefox automatically encodes every GET parameter with Unicode is not a big deal. However, if the page doesn’t do any conversions, but rather echos the data back exactly as it was seen Fi
Apache Tomcat Connector (mod_jk) Remote Exploit (exec-shield) - ripjyr's blog
Fedoraでmod_jkを使っている人は要注意！シェルポートが開いてしまうExploitだそうです。 /* ** ** Fedora core 5 exploit: ** -- ** $ ./0x82-apache-mod_jk -t 0 -h fc5.inetcop.org ** INetCop(c) Security 0x82-apache-mod_jk.c ** ** [*] os: Fedora Core release 5 (Bordeaux) - exec-shield ** Apache/2.0.59 (Unix) mod_jk/1.2.19, mod_jk/1.2.20 ** tarball install: /usr/local/apache ** tarball install: tomcat-connectors-1.2.xx-src.tar.gz ** ** [*
ITmedia エンタープライズ：新種のWeb攻撃「イベイシブ攻撃」とは何か - ripjyr's blog
高度な攻撃で一度目で不正コード2度目で無害なページを表示するそうです。 米セキュリティ企業Finjanは6月4日、高度で検出されにくい、新しいタイプの「イベイシブ攻撃」を発見したと報告した。 同社は、この新種の攻撃はシグネチャベースのセキュリティ技術を回避することを目指していると四半期報告書「Web Security Trends Report」で述べている。 Finjanは、イベイシブ（evasive）攻撃は技術レベルが「大きく進歩」しており、ドライブバイダウンロードやコード難読化をはるかに超えているとしている。攻撃者は不正なコードの露出を極力避けるために、特定のWebサイトやWebページへのビジターのIPアドレスを追跡し、その情報を利用して、各IPアドレスから不正なコードへのアクセスを1回に限定する。同じIPアドレスから不正なページに2回目のアクセスを試みると、無害なページが表示される
うさぎ文学日記 - フリーの SQLインジェクション スキャナー トップ15 - ripjyr's blog
フリーのSQLインジェクションのスキャナーだそうです。 SQLIer Sqlbftools SQL Injection Brute-forcer (.tar.gz) SQLBrute (.py) BobCat sqlmap: a blind SQL injection tool Absinthe :: Automated Blind SQL Injection SQL Injection Pentesting TooL SQID - SQL Injection digger Blind SQL Injection POC (.pl) SQL Power Injector FG-Injector Framework sqlninja: a SQL Server injection & takeover tool Automagic SQL Injector NGSS SQL Injector
セキュリティ対応チーム間の連携を目指す「日本CSIRT協議会」発足 - ripjyr's blog
JPCERT/CCとIIJや日立、ラック、NTT、ソフトバンクBBが、CSIRTを立ち上げたそうです。企業間の横のつながりで対応するそうですね。 日立製作所、IIJ、ラック、NTT、ソフトバンクBBの5社とJPCERT/CCは17日、企業などのセキュリティ対応チーム間の連携などを目的とした、日本コンピュータセキュリティインシデント対応チーム協議会（日本CSIRT協議会）を共同で設立した。 日本CSIRT協議会は、企業などのセキュリティ対応チーム（CSIRT）の活動の推進と、各社の連携体制の構築などを目的として設立された。協議会では設立の背景として、コンピュータセキュリティインシデント（セキュリティ上の脅威となる事案）への迅速かつ適切な対応が、単独のCSIRTでは困難になってきたことを挙げ、各企業のCSIRT同士による情報の共有や緊密な連携体制の構築を目指すとしている。 関連URL 「日本コ
（第3回）Exchangeに適したストレージ・システムとは：ITpro - ripjyr's blog
Exchangeのストレージの別ディスクへの待避方法は SANとDASのどちらを使用するかは，各組織のITインフラ戦略によるところが大きい。Exchange Server以外のアプリケーションとストレージ資源を共有したい場合は，SANの方が効率的である。またSANで利用する大型ストレージには，スナップショットといった高速バックアップ用の機能が搭載されている。ただし当然のことながら，SANストレージは初期導入コストや運用保守コストなどが高価である。できればDASと組み合わせて導入したい。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
漏らしちゃいけないデータの漏らし方 （ISOがCE - ３流（技術屋 and 本読み）） - ripjyr's blog
TOTOROさんがまっちゃ好きらしいｗ - ripjyr's blog
