アクセスキー/シークレットキーが漏洩してしまった！一体何をすればいいの? | DevelopersIO
オペレーション部加藤(早)です。 AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 はじめに AWSアクセスキー/シークレットキーの漏洩により不正利用が発生すると、緊急の対応が必要な上かなりの工数も取られて相当しんどいです。 なので本当は漏洩させないのが１番です。が、万が一の時慌てて二次被害を産まないよう、対応について予習をしておきましょう！ 本記事では、以下のAWS公式ドキュメントを参考にご
AWS Vaultで端末内のAWSアクセスキー平文保存をやめてみた | DevelopersIO
AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 AWS Valutとは AWSのアクセスキー/シークレットキーを安全に保存・利用するためのOSSソフトウェアです。 AWS CLIだけではなく、boto3等AWS SDKを用いた開発、 Terraform等のサードパーティアプリケーションでも利用することが出来ます。 AWS VaultはIAM認証情報をOSのキーストアに保存し、認証情報の利用時
AWSのCLI作業はどこで行う？ 安全に管理するパターンとメリデメ集 | DevelopersIO
AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 AWS CLI、どこから使っていますか？ ざっくり、以下4種類のどれかを使っている方が多数派ではないでしょうか。 ローカル端末 AWS内に構築した管理用EC2にSSHを利用して接続 AWS内に構築した管理用EC2にSSM(セッションマネージャ)を利用して接続 AWS CloudShell 一体どう違うのでしょうか。 状況によって良し悪しは異なる
Security-JAWS 第21回レポート #secjaws #secjaws21 #jawsug | DevelopersIO
Security JAWS 第21回のレポートです。AWS WAFの最新情報からIAMの最小権限、金融APIをAPI Gatewayで実現する話、そしてAzure SentinelでCloudTrailを分析する話でした。そして何でも答える質問コーナーです！ こんにちは、臼田です。 Security JAWS 第21回が開催されましたのでレポート致します。 Security-JAWS 【第21回】 勉強会 2021年5月19日(水) - Security-JAWS | Doorkeeper 動画 レポート Session1: 「AWS エッジサービス入門ハンズオンの紹介とAWS WAFのアップデートについて」 アマゾン ウェブ サービス ジャパン株式会社 テクニカルソリューションアーキテクト 文珠 啓介さん 前半はAWSエッジサービス入門ハンズオンの紹介 後半はAWS WAFのアップデート
SCPを使用してAmazon EC2で起動できるインスタンスタイプを制限する | DevelopersIO
こんにちは。サービスグループの武田です。アクセスキーが漏洩して高額請求につながるひとつのケースとして、高額なEC2インスタンスの起動があります。AWS OrganizationsのSCPを用いて、そのようなインスタンスタイプの起動を制限してみます。 こんにちは。サービスグループの武田です。 皆さんAWSはセキュアに利用できていますか？自信を持って Yes と言えない場合は次のエントリなどをぜひ熟読ください。 さて世間ではSQLインジェクションなどが話題ですが、被害の契機として多いのはアクセスキーの漏洩です。機密情報のないアカウントであっても、高額なEC2インスタンスを起動されるなどけっして少なくはない被害が起こりえます。 このような対策を万全にしていたとしても事故を100%防ぐことはできません。ほかにできることはないのでしょうか？ アクセスキーが漏洩して高額請求につながるひとつのケースとし
AWS IoT 再入門ブログリレー AWS IoT Device Defender 編 | DevelopersIO
AWS IoT Device Defender でクラウドとデバイスのセキュリティ監査ができちゃいます。おまけに機械学習で予兆検知までできるなんて、Device Defender はとっても優れたサービスです。 この記事の趣旨 本企画は、弊社チームIoTメンバーが初心に返ってIoTサービスについて学びなおし、解説してみようというものです。本エントリーでは「デバイスやクラウド側のセキュリティ監査と見つかった問題の軽減を行う」機能である「AWS IoT Device Defender（以後、Device Defender と表記）」について紹介します。 この記事の前提 この記事ではいくつか実際の機能を試してみた内容を含んでいます。この内容は公開されている下記のワークショップの内容になります。ワークショップを実施していなくても理解いただけるように記載したつもりですが、ワークショップの内容はとても
デプロイ前のコンプライアンスチェック！CloudFormation Guardを試してみた | DevelopersIO
CloudFormation Guard を使うことで、CloudFormation をデプロイ前にコンプライアンスチェックでき、より安全なデプロイをできるようになります。 CloudFormation テンプレート（以下、CFn テンプレート）が、ポリシーガイドラインに準拠しているか確認できるコマンドラインツールとして、CloudFormation Guard （以下、CFn Guard）が公開されました。 CFn Guard は、2020年10月1日から一般提供されています。 これまで、Security Hub のセキュリティ標準や Config 適合パックを用いて、AWS環境がコンプライアンスに準拠しているか調べられます。 CFn Guard では、CFnテンプレートが定義したルールを満たしているかをチェックでき、デプロイする前にコンプライアンスに準拠しているかチェックできます。 デ
Goバイナリの脆弱性検知 - knqyf263's blog
Trivyのv0.17.0をリリースしました。 github.com 長い道のりでしたが、ようやくこれでGoバイナリの脆弱性検知に対応できました。夜中0時ぐらいからリリース作業を初めて気付いたら朝5時でした。 概要 Go言語で書かれたプログラムをビルドすると依存しているモジュールがバイナリに含まれます。現代のソフトウェア開発において利用しているOSSのライブラリが0ということはまれなので、何かしらのOSSライブラリが作成されたバイナリに同梱されます。これらのOSSの古いバージョンには既知の脆弱性が含まれる可能性があります。これを手動で調べて追うのは手間なので最近では脆弱性スキャナを用いて検知するのが普通です。自分が開発したTrivyというOSSの脆弱性スキャナではコンテナイメージやファイルシステム上のGoバイナリに含まれるモジュールを特定し脆弱性を検知します。 Goのバイナリからどうやって
IDS/IPSとは？それぞれのセキュリティ対策における役割と効果、違いについて | ニフクラ
日々、巧妙化していくサイバー攻撃の脅威に対して、どのような対策を施せばいいのか？企業や組織にとって悩ましい問題です。 OSのアップデートやソフトウェアのセキュリティパッチの適用といった基本的な対策は引き続き重要ですが、新たな脅威への適切な防御策を随時追加することで、セキュリティのリスクを低減させることができます。 現在では、攻撃者の侵入を前提としてリスクに応じた複数の防御策を施すことで最終的に攻撃者の目的達成を阻む、「多層防御」という考え方がセキュリティ対策の主流となっています。多層防御を構成しているシステムとして、近年重要視されている「IDS」「IPS」の役割と効果について、解説します。 「IDS（不正侵入検知システム）」「IPS（不正侵入防御システム）」とは サーバーのセキュリティ対策にはさまざまな方法があります。基本的なものとしては、「ファイアウォール」やウイルス対策ソフトが知られて
Shodan
Search Engine for the Internet of Everything Shodan is the world's first search engine for Internet-connected devices. Discover how Internet intelligence can help you make better decisions. Sign Up Now Beyondthe Web Websites are just one part of the Internet. Use Shodan to discover everything from power plants, mobile phones, refrigerators and Minecraft servers. MonitorNetwork Exposure Keep track
【2023年版】おすすめのセキュリティ診断ツール19選を徹底比較！ - SaaS LOG
今やビジネスを行う中で欠かせないインターネットですが、使用するアプリケーションやシステムに対するサイバー攻撃が後を絶ちません。 そんな状況から、より自社のセキュリティ体制を整えたいとお考えの方もいらっしゃるのではないでしょうか。 そこで今回はセキュリティ診断ツールをご紹介します。 数多くあるセキュリティ診断ツールの中からおすすめの19選をご紹介しますので、ぜひ最後までご覧ください。 セキュリティ診断・脆弱性診断とは セキュリティ診断・脆弱性診断とは、サイバー攻撃を受けやすいアプリケーションやネットワーク等のシステムを調査し、攻撃対象となる箇所を検出したり、情報漏洩等のリスクを回避したりするために行うものです。 おすすめのセキュリティ診断ツール5選 無制限にスキャンできる！『Burp Suite』 画像出典元：「Burp Suite」公式HP 特徴 シンプルな使い勝手で、あらゆる組織で使用で
巷でナウな脆弱性スキャンツールVulsを試してみた！｜【技業LOG】技術者が紹介するNTTPCのテクノロジー｜【公式】NTTPC
Vuls（VULnerability Scanner）は国産のOSS（オープンソースソフトウェア）でシステムに関係ある脆弱性を含むパッケージ一覧を自動で取得できるアプリケーションです。 Vulsの詳細やインストール手順については開発元情報（最下段にリンクあり）をご覧いただくこととして、本技術ブログでは主に弊社のVulsでの取り組みについてご紹介させていただきますが、前置きとしてまずは簡単にVulsについてご説明させていただきます。 システム構成を簡潔に図示すると下記（図１）のようになります。 初期設定を行えば、一連の動作により脆弱性ホストの検出まで自動実行出来ます。 担当者で手分けして大量のホストを調査する手間が無くなり、また、検出結果についてはWebインターフェース（VulsRepo）でグラフィカルに可視化出来ますので脆弱性を含むホストの見落とし等のミスやリスクも低減出来ます。
AWS Security HubをAzure Security Centerへ統合してみた | DevelopersIO
いわさです。 Microsoft Ignite 2020 にて、Azure Security Centerのマルチクラウド統合機能がパブリックプレビューになりました。 AWS Security Hub、GCP Security Command Center との統合が可能になりました。 各プラットフォームで検出された設定不備や推奨事項をAzure Security Centerで管理することが出来ます。 今回は、AWS Security Hub と Azure Security Centerの統合の流れを確認してみたいと思います。 AWS Security Hubの有効化 まずAWSマネジメントコンソール上で、AWS Configを有効化した上で、AWS Security Hubを有効化します。 今回は、AWS基礎セキュリティのベストプラクティスを有効化してみました。 Azure Secu
【.htaccess】CSP(Content Security Policy)を設定する方法｜みきやのプログラミング部屋
<IfModule mod_headers.c> Header set Content-Security-Policy "○○-src 'self'; ○○-src https://foo.com;" </IfModule> <IfModule mod_headers.c> Header set Content-Security-Policy " \ default-src 'none'; \ script-src https://morisakimikiya.com/js/ \ https://ajax.googleapis.com/ajax/libs/jquery/ \ https://www.google.com/recaptcha/ \ 'sha256-*****'; \ font-src https://fonts.gstatic.com/; \ block-all-mixed-
CSP(コンテンツセキュリティポリシー)について調べてみた - セキュアスカイプラス
はじめに SSTでアルバイトをしていて約一年半、仕事は勉強になることばかりで「むしろ自分がお金を払わなくて良いのか？」と思いつつある石渡です。 今回はとある理由でCSP(コンテンツセキュリティポリシー)について調べる機会を頂き、色々な記事を読みましたので、CSPについてまとめてみます。 CSPとは CSP(Content Security Policy)は、対応しているユーザーエージェント（通常はブラウザ）の挙動をWebサイト運営者が制御できるようにする宣言的なセキュリティの仕組みです。どの機能が有効になるか、どこからコンテンツをダウンロードすべきか、などを制御することで、Webサイトの攻撃対象領域を小さくできます。1 簡単に説明すると、XSS等を緩和する為、インラインスクリプトやevalなどを禁止したり、信頼できるコードなどを参照するように制限をかけたりするセキュリティの為のHTTPレス
セキュアにGoを書くための「ガードレール」を置こう - 安全なGoプロダクト開発に向けた持続可能なアプローチ - Flatt Security Blog
The Go gopher was designed by Renee French. (http://reneefrench.blogspot.com/) The design is licensed under the Creative Commons 3.0 Attributions license. 種々の linter が様々なプロダクトの品質を高めてきた、というのは疑う余地のない事実です。実装の初歩的な問題をエディタ内や CI/CD パイプライン中で機械的に検出できる環境を作れば、開発者はコーディングやコードレビューの邪魔になる些末な問題を早期に頭から追い出し、本質的な問題に集中できます。 また、そのような環境づくり（e.g. linter のルールセットの定義、組織独自のルールの作成、…）は、まさに開発組織のベースラインを定義する作業として捉えることができます。一度誰かが定義
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
今こそ見直すApacheの設定 - blog.nomadscafe.jp
TryHackMe | Cyber Security Training
脆弱性スキャナVuls（入門編）
Content-Security-Policy (CSP) Header Quick Reference