印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは米国時間4月2日、サイバーセキュリティソリューショングループ内のチームである「Detection and Response Team（DART）」が扱った事例を紹介する、2本目となるレポートを公開した。今回のレポートでは、1人の従業員がフィッシングメールを開いてしまった結果、社内ネットワークの全面停止に至った顧客の事例が紹介されている。このメールには、バンキング型トロイの木馬として悪名高い「Emotet」が含まれていた。 Microsoftが今回紹介しているインシデントレスポンスの詳細（顧客名にはFabrikamという仮の名前が用いられている）は、2018年2月にペンシルバニア州アレンタウン市によって開示されたサイバ
ユーザーが Amazon Simple Storage Service (Amazon S3) バケットのオブジェクトにアクセスしようとしていますが、Amazon S3 が「HTTP 403: Access Denied」(アクセスが拒否されました) というエラーを返します。 解決策 AWS Systems Manager Automation のドキュメントを使用する AWS Systems Manager では、AWSSupport-TroubleshootS3PublicRead オートメーションドキュメントを使用します。このオートメーションドキュメントは、指定したパブリック S3 バケットからのオブジェクトの読み取り問題を診断するために役立ちます。 バケットとオブジェクトの所有権を確認する GetObject または HeadObject リクエストによる AccessDenied
IT製品やサービスにおけるセキュリティ対策の責任をメーカーやベンダーに移すという意欲的な取り組みが、2023年4月13日に大きく盛り上がった。米国と英国、カナダ、ドイツ、オランダ、オーストラリア、ニュージーランドのサイバー当局が製品の設計と初期設定において安全性を確保するための推奨事項と戦術を同日発表した（注1）。 設計上の脆弱性をどうなくす？ 合計20項目の施策を紹介 米国サイバーセキュリティ社会基盤安全保障庁（以下、CISA）と英国をはじめとする6カ国がまとめたセキュア・バイ・デザインの原則は、バイデン米政権が最近明らかにした「国家サイバーセキュリティ戦略」の裏付けとなるものであり（注2）、より具体的な行動指針となっている。 セキュア・バイ・デザインの原則には、ソフトウェアやインフラの設計に関する技術的な推奨事項や既定のセキュリティ対策のベストプラクティスなど、CISAや他のサイバー当
Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について
HOMECyberNewsFlashFortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について (1) 概要 JPCERT/CC は、2020年11月19日以降、Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性の影響を受けるホストに関する情報が、フォーラムなどで公開されている状況を確認しています。当該情報は、FortiOS の既知の脆弱性 (CVE-2018-13379) の影響を受けるとみられるホストの一覧です。この一覧は、攻撃者が脆弱性を悪用可能であることを確認した上で作成したものとみられ、ホストの IP アドレスに加え、SSL VPN 接続を利用するユーザーアカウント名や平文のパスワードなどの情報が含まれているとのことです。 JPCERT/CC は、当該情報に日本の
さまざまなクラウドサービスでシングルサインオン（SSO）の利用が増加してきています。その認証として用いられるものにSAML認証という標準規格があります。このSAML認証について説明します。 SAML認証のしくみSAMLとは、Security Assertion Markup Languageの略で、シングルサインオン（SSO）を実現する仕組みのひとつです。 SAMLは、OASISによって策定された異なるドメイン間でユーザー認証を行うための認証情報の規格です。つまり、SAMLはユーザーの認証情報をやり取りするルール・プロトコルを指しています。 SAML認証は、IdPとSPの2つの間で認証情報をやりとりする認証方式です。まずはそれぞれが何かを見ていきます。 IdPは、Identify Providerの略で、ユーザの認証情報の登録や管理を行っています。SAML認証では、認証情報（Identif
三越伊勢丹は9月11日、ECサイト「三越伊勢丹オンラインストア」と傘下のクレジットカード事業者エムアイカードの会員が不正ログイン被害に遭った件で、新たに約3万件の会員情報が盗み見られた可能性があると明らかにした。8月の発表時点では約1万9000件と報告していた。 改めて第三者機関による調査を行った結果、三越伊勢丹オンラインストアで新たに3万1366件の不正ログインを受けた可能性のある会員アカウントが判明した。不正に閲覧された可能性があるのは、会員の氏名や住所、電話番号、メールアドレス、生年月日、クレジットカード番号の下4桁や有効期限などで、クレジットカードやポイントの不正利用は確認していない。 同社は「ご迷惑とご心配をお掛けいたしましたことを心よりおわび申し上げます」と改めて謝罪。不正ログインを受けた可能性のある会員には、メールでパスワード変更を呼び掛けている。 関連記事 三越伊勢丹ECサ
AWS初心者がAmazon S3 Glacier Deep Archiveで格安でバックアップしてみた（2020年版）｜小村大樹
Amazon S3は、通販・クラウド大手Amazonのクラウドサービス「AWS」で提供されるストレージサービスです。ネット上にデータを保存してくれます。その中でも、格安でデータをバックアップできるAmazon S3 Glacier Deep Archiveを利用してみました。 ※ 使用するのはパソコンのブラウザだけです ※ AWS初心者なので、このノートには恐らく間違った内容が含まれています 【Amazon S3とは】 ・安い 従量制で柔軟な料金体系 ・安全 分散保存と周期的な冗長性チェックで99.999999999%の耐久性 ・便利 ブラウザから操作可能 コマンドラインやAPIを利用したり、アクセス設定やセキュリティーのオプションも豊富。ライフサイクルルールやバージョニングなど様々な機能も利用できます。 【用語】ふわっとした認識なので、詳しくは別途ご確認下さい。 ・ストレージクラス ―
(初心者向け) AWSのアカウントを守るために最低限やっておきたいことまとめ ( IAMメイン ) - Qiita
はじめに これまで業務でAWSを触る機会もあったのですが、1からアカウントを運用するなどは経験がなく基本的な部分が抜けているなと感じたので、自身の知識の確認も含めて、AWSアカウントを安全に利用するためのセキュリティの基礎中の基礎をまとめてみました。 対象読者 AWSアカウントを開設してばかりの方 AWS IAMの設定内容に自信がない方 IAM ベストプラクティスで推奨されている内容をさくっと確認したい方 AWSにおけるセキュリティの考え方 AWSはさまざまな便利なサービスをクラウドサービスとして提供してくれていますが、クラウドサービスだからといってセキュリティのあらゆる部分をAWSが担保してくれるわけではありません。 セキュリティに関してAWSがどの範囲は責任を持ってくれるのか、また利用者側がどの範囲のセキュリティを検討しなくてはいけないのかは「責任共有モデル」という形で明示されています
チェック・ポイント・リサーチ、TP-Linkルーターに埋め込まれた悪意あるファームウェアの存在と、中国のAPTグループとの関連を報告
Check Point Quantum IoT Protect は高度な脅威防御とリアルタイムのネットワーク保護を提供し、巧妙な攻撃からネットワークを守ります 包括的なサイバーセキュリティソリューションプロバイダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point Software Technologies Ltd.、NASDAQ：CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、TP-Link社のルーターに埋め込まれた悪意あるファームウェアについて明らかにし、この攻撃が中国の国家支援型APTグループ「Camaro Dragon」によることを報告しました。このファームウェアにより、攻撃者は感染した機器の完全な制御が可能になります。 ハイライト CPRは、TP-
前回の記事では、認証方法に関する整理とパスワード管理のツールについてシンプルかつ網羅的に記述しました。 今回の記事では、KeePassXCというツールがどのように活用できるのかをシンプルかつ要点を外さず紹介するとともに、パスワード管理に対する議論の基礎としても使えるように構成しています。 KeePassXCとは？ KeePassXCは、KeePass Password Safeというプロジェクトから派生したパスワード管理ツールです。 KeePass本家も非常に良いツールですが、XCの方が様々なOS(Win, Mac, Linux)でシームレスに動きます。 またKDBXという(本家からも開ける)互換性の高いファイルフォーマットでパスワードを保存でき、アプリケーションからパスワードを参照するという使い方(例)もできます。 KeePassXC自体はAndroidやiPhoneに対応してないですが
この記事は ドワンゴ Advent Calendar 2023 の16日目の記事です。 新卒採用イベントで会社説明をする機会があり、その中でもタイトルにもさせてもらっている通り「ものづくりが好き」をはじめとするドワンゴのエンジニア文化などの話をさせてもらいました。 会社説明で利用したスライドの抜粋 特にスライド中にも書いてありますが「とりあえず作ってみる」「不便なものはハックする」「あらゆるものをカスタマイズする」は、会社説明の中でもフォーカスしたかったものの時間の関係で話せなかったため、これまで自身で作成したツールの紹介や利用している技術を紹介できればと思います。 AWSマネジメントコンソールへのログインを行うためのCLIツール このツールは、AWS CLIを利用する際に設定するであろう ~/.aws/credentials に保存されているアクセスキー等を用いて、フェデレーショントーク
AWS IAM が WebAuthn と Safari ブラウザをサポートし、セキュリティキーによる多要素認証が可能になりました
今まで出来なかったとすると、革命的に便利になる気がする＞＜ それともAADとかCloud Identityでセキュリティキー使えてる系とは違う話なのかな？
ICTイノベーション推進室アドバンストグループの谷口です。 いわゆる情シスでラック社内のセキュリティ強化を行っています。ゼロトラストアーキテクチャをベースに自組織に合わせて実装・運用していますが、取り巻く環境の変化も早く、意図した通りに動作しないソリューションもあり、試行錯誤の連続です。実際に運用をして効果的と判断した対策を中心に情報発信していきたいと考えています。 今回は、フィッシングサイトで多要素認証（MFA：Multi-Factor Authentication）が突破されてしまった後の対策について解説します。 フィッシングサイトが正規サイトの中継役になる フィッシング攻撃は正規のID・パスワードを窃取する手法の一つです。対策としてMFAがありますが、利用者を騙してMFAの承認をさせる攻撃が観測されています。そのような攻撃は、フィッシングサイトがプロキシサーバ（中継サーバ）として動作
【シリコンバレー=佐藤浩実】11月の米大統領選が迫るなか、ロシアなど外国勢力によるサイバー攻撃の懸念が強まっている。米マイクロソフトが10日に公表した報告書によると、ロシアのハッカー集団は過去2週間で政党や支援団体など28の組織に攻撃を試みた。中国やイランからの攻撃も続いており、同社は多要素認証などでの防御を呼びかけている。国家の関与が疑われるサイバー攻撃の動向を調べた。ロシアのハッカー集団「
適用対象: Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012 過去 10 年間、コンピューティング インフラストラクチャに対する攻撃は世界中で増加しています。 私たちはサイバー戦争、サイバー犯罪、ハクティビズムの時代に生きています。 その結果、世界中のあらゆる規模の組織は、情報の漏洩、知的財産権 (IP) の窃盗、サービス拒否 (DDoS) 攻撃、さらにはインフラストラクチャの破壊にまで、対処する必要があります。 しかし、長年にわたって脅威の状況が変化してきたのと同じように、セキュリティ環境もこれらの脅威に対抗するように適応しています。 情報技術 (IT) インフラストラクチャを備えた組織で、攻撃の影響をまったく受けないものはありません
はじめに 本記事は主にこちらを参考にさせて頂きました。 https://qiita.com/mochifuture/items/00ca8cdf74c170e3e6c6 https://qiita.com/nokonoko_1203/items/94a888444d5019f23a11 買ってすぐのRaspberryPi本体へ適用する前提での方法となります。 私はセキュリティの専門家ではないので、下記だけでは不十分だ！という意見があれば、 積極コメント頂けるとありがたいです！ 必要なもの ・RaspberryPi (本例ではRaspberryPi3 ModelB) ・PC (SSH接続の確認に使用。本例ではWindows10) ・上記RaspberryPiとPCのLAN接続環境（ルータにつなげばOK） RaspberryPiとセキュリティ 安価で必要十分な性能を備えるRaspberrypP
政府情報システムにおける セキュリティ・バイ・デザインガイドライン 2022（令和 4）年 6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-200 〔キーワード〕 セキュリティ・バイ・デザイン、DevSecOps、システムライフサイクル保 護 〔概要〕 情報システムに対して効率的にセキュリティを確保するため、企画から運 用まで一貫したセキュリティ対策を実施する「セキュリティ・バイ・デザイ ン」の必要性が高まっている。本文書ではシステムライフサイクルにおける セキュリティ対策を俯瞰的に捉えるため、各工程でのセキュリティ・バイ・ デザインの実施内容を記載する。 併せてセキュリティ・バイ・デザインの実用性を確保するための関係者の 役割を定義する。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 - 初版決定 i 目次 １ はじめに ................
2020/07/29 に開催された 夏のAWSコンテナ祭り with Amazon ECS のイベントレポートです。 ●イベント概要 みなさん、コンテナサービスをお使いですか？ 多くの人がコンテナを使うようになった今だからこそ、「ここでつまってしまった」「ここがわからない」など課題や疑問が顕在化してきていることでしょう。当セミナーでは、AWSコンテナサービス、特にAmazon ECSをお使いのお客様の活用事例と、AWSソリューション アーキテクトによるECS活用のための徹底解説を展開します。 ■Capacity Provider をもっと身近に 松田 和樹さん [アマゾン ウェブ サービス ジャパン] ●ECS Capacity Providers ・Capacity タスクを配置する先のリソース EC2やFargate ・Provide コンテナの実行費必要な量を調達 ・配置先を決定する
Azure AD 設定することリスト
設定は Azure AD管理センター > Azure Active Directory > ロールと管理者から MFAの定義 多要素認証(MFA)は設定していない場合に比べて99%の不正アクセスの遭遇率低減というメリットがありますので、少なくとも管理者ロールが割り当てられたユーザーには設定しましょう。 設定はAzure AD管理センター > Azure Active Directory > ユーザー > Multi-Factor Authentication から対象となるユーザーを選択します。 緊急用グローバル管理者の定義 Break Glassアカウントとも呼ばれる緊急用グローバル管理者はグローバル管理者のロールが割り当てられたユーザーです。通常のグローバル管理者と異なるのは条件付きアクセスをひとつも割り当てない、MFAを設定しないことです。グローバル管理者なのにMFAを設定しなくて大
用心は安全の母 - 叡智の三猿
オフィスはセキュリティレベルに応じたエリアの分離が必要です。来客者のおもてなしをする応接室、一般社員が執務する部屋、サーバルームに入れる人、機密資料の保管室に入れる人など、セキュリティの強度はエリアで異なります。「用心は安全の母」といいますが、いくら同じ会社の社員といえども、用心する仕組みを作っておくことで、セキュリティインシデントの予防になります。 セキュリティを確保するべきエリアでは、入退室を制限することが望まれます。その為には、入退室の認証が有効です。 認証は以下に大別できます。 パスワード認証 あらかじめ決められたパスワードを入力し、一致したら入室を許可する方法がパスワード認証です。これは比較的手軽にセキュリティを確保できる入室方法です。テンキーの配置が起動の度に異なる機能を持つことで、パスワードを入力している場面を背後からのぞき見されても、パスワードがバレにくいなどの工夫もありま
米国連邦捜査局（FBI: Federal Bureau of Investigation）は1月6日(米国時間)、「Egregor Ransomware Targets Businesses Worldwide, Attempting to Extort Businesses by Publicly Releasing Exfiltrated Data - FBI」において、世界中で150を超える組織がランサムウェア「Egregor」の被害を受けたと伝えた。FBIは2020年9月の段階でEgregorランサムウェアを確認しており注意を呼びかけている。 Egregor Ransomware Targets Businesses Worldwide, Attempting to Extort Businesses by Publicly Releasing Exfiltrated Data -
漏えいの可能性があるのは、2022年10月8日までに加入した48万9085人の組合員番号、氏名、住所、電話番号、生年月日、性別、メールアドレス、引き落とし口座情報、購入履歴、出資金情報。クレジットカード情報は含まれていないという。 攻撃を受けたのは22年10月9日。基幹システムのサーバなどに不正に侵入され、内部のデータをほとんど暗号化されたという。組合員の情報も対象だった。これにより、当時は商品の個人配達やクレジットカード決済の中止といったトラブルが起こっていた。 影響範囲の判明を受け、ならコープは23日から情報が漏えいした可能性のある人への連絡を開始する。住所が分かっている人に、郵送で告知するという。 攻撃から漏えいした可能性のある情報の発表まで、3カ月以上かかった理由については「不確定な情報により混乱を避けるため、慎重に調査していた。調査に時間を要したことをおわびする」としている。 今
今回は9/4の朝(日本時間)に決算発表を予定しているDocuSign, Inc.（DOCU）について調べて見たいと思います。DocuSignとはコロナ禍により日本でも制度の整備などを含め一気に普及が進みつつある電子契約サービスの会社になります。米国ではかなり前から普及が進んでおり、特にここ数年は実務で米国の方と契約のやり取りをする際は「DocuSignで良いよね？」ともうDocuSign前提で話を進められるケースが増えてきた様な体感もあります。 またDocuSignは電子契約サービスがメインの事業ではありますが、それ以外にもいくつか会社を買収することで、その事業ドメインを契約締結のみから契約手続き全体にまで広げていく戦略を取っています。先週紹介したOktaはどの企業でも必須となるセキュリティに焦点を当てた非常にTAMの大きな事業ドメインですが、DocuSignもどの企業でも必須になる契約行
システム開発の工数を無駄にしないために、ログイン処理だけではなく多層防御機能も備える話題のIDaaS「Auth0」とは［PR］
システム開発の工数を無駄にしないために、ログイン処理だけではなく多層防御機能も備える話題のIDaaS「Auth0」とは［PR］ ネットで公開されるオンラインサービスやクラウドサービスはもちろん、社内で使われる業務アプリケーションなど、世の中のITシステムの多くにはユーザーを認証し権限を与えるログインやサインインの処理が存在します。 かつて、マルチユーザー対応のOSが初めて登場した当時、こうしたログイン処理の実装は、ユーザーから入力されたユーザーIDとパスワードがあらかじめOS内に保存されたパスワードファイルの内容に合致しているかを確認する、という非常に素朴なものでした。 しかし現在では、そんな素朴な実装では許されなくなっています。 ユーザー認証に対するさまざまな要求の高まり 現在のログイン処理、すなわちユーザーの認証と認可にかかわるシステムにはさまざまな要求が存在します。 例えば複数のシス
Part 1.「おうちゼロトラスト」に学ぶゼロトラストセキュリティの基礎 – とあるコンサルタントのつぶやき
それではまず、ゼロトラストセキュリティの基本となるいくつかの考え方を解説していきたいと思います。 世界のセキュリティ動向 境界型ネットワークセキュリティの問題 ゼロトラスト型ネットワークの登場 おうちゼロトラストから学ぶゼロトラスト型ネットワーク おうちゼロトラストから学ぶ企業内ネットワークのセキュア化 ゼロトラスト型ネットワークとは ゼロトラスト型 IT 環境構築の基本ツールセット E5 Security ゼロトラスト型ネットワークベースの IT インフラのもたらすメリット 既存システムが存在する現在の IT 環境からの移行ステップ よくあるゼロトラスト型 IT 環境に関する質問 まとめ ［世界のセキュリティ動向］ ご存知の方も多いと思いますが、現在、サイバー犯罪は巨大なブラックマーケットを形成しています。ある試算では、サイバー犯罪市場は約 150 兆円にもなり、その市場規模はすでに韓国
サイバー攻撃の標的は、パスワードよりも「認証後の証明」へ移ろうとしている。アイデンティティ管理のOktaはなぜ狙われ、どう対策していくのかを聞いた［PR］
サイバー攻撃の標的は、パスワードよりも「認証後の証明」へ移ろうとしている。アイデンティティ管理のOktaはなぜ狙われ、どう対策していくのかを聞いた［PR］ Okta（オクタ）は、パスワードレス認証や多要素認証などの技術を活用し、業務で使う様々なSaaSアプリのシングルサインオンなどの便利で安全なアイデンティティ管理とアクセス管理のプラットフォームを提供する代表的な企業として知られています。 2021年には開発者に人気のあったアイデンティティ管理プラットフォームの「Auth0」を買収、サービスを統合したことで、この分野での地位をさらに強固なものとしました。 その同社は2023年10月、顧客企業のサポート管理システムへの不正アクセスがあったことを公表しました。攻撃者は、顧客がサポート管理システムにアップロードしたファイルの中からセッショントークンを窃取し、それを使って5社の顧客企業のOktaテ
2019年頃からYouTuberを対象に、Cookie盗難マルウェアを使ったフィッシング攻撃が行われていると、GoogleのThreat Analysis Group(TAG、脅威分析グループ)の研究者が発表しました。この攻撃はロシア語圏のフォーラムで募集された複数のハッカーによって行われていることがわかっています。 Phishing campaign targets YouTube creators with cookie theft malware https://blog.google/threat-analysis-group/phishing-campaign-targets-youtube-creators-cookie-theft-malware/ Hackers are hijacking YouTube influencer accounts with fake coll
背景・目的 私は、現在データエンジニアリングを生業としています。普段は、データ基盤の構築や、パフォーマンスチューニングなどビックデータに関する業務に従事しています。 日頃から、データに関わる業務が多く、Webフロントエンドやバックエンドの技術に触れる機会が少ないため、意図的に学んで行こうと思います。 今回は、Webアプリケーションの認証やユーザ管理のサービスであるAmazon Cognito（以降、Cognitoと言います。）を学んでいこうと思います。 まとめ Cognitoは、簡単な設定でユーザ認証の仕組みを提供する。 既存のシステムや他のIdPで管理しているユーザIDを使用することが可能。 概要 Cognitoとは？ Amazon Cognito を使用すれば、ウェブアプリケーションおよびモバイルアプリに素早く簡単にユーザーのサインアップ/サインインおよびアクセスコントロールの機能を追
Colorkrewでは、オフィス内は全席フリーアドレスです。 ご存知の方も多いと思いますが、フリーアドレスとは、社員が固定席を設けず、自由に働く席を選択できるオフィススタイルです。 出社して空いている席を見つけ、着席し、Colorkrew Bizというアプリで席に置いてあるQRコードを読み取って打刻します。 帰りもアプリで退席すればいいので、打刻カードやイントラサイトからの打刻は不要です。楽ちんです。 桜が観測史上最速で咲いたにもかかわらず、新型コロナウイルスの影響でイベント自粛ムードの世の中ですが、いかがお過ごしでしょうか。 僕はというと、自粛でやることがないので先日親知らずを抜き、固形物を控えていたためか体重が減りました。逆に健康に過ごせています。ありがとうございます。 ただ、世界はコロナパンデミックで混乱を極めるところなので、一刻も早くこの状況が回復に向かうことを願ってやみません。
ドイツに本社を置く世界最大級のモバイルキャリアであるT-Mobileは、2021年夏に1億人分のユーザー情報の流出を認めたり、2023年1月には新たに3700万人分の顧客データが流出したことが報じられたりと、しばしばセキュリティ問題が話題になります。そんなT-Mobileに対し、スマートフォンを乗っ取られて全ての情報が盗まれるなどの重大な侵害が2022年を通じて100件以上起きていたと、セキュリティ分析会社のデータが示しています。 Hackers Claim They Breached T-Mobile More Than 100 Times in 2022 – Krebs on Security https://krebsonsecurity.com/2023/02/hackers-claim-they-breached-t-mobile-more-than-100-times-in-2
AWS 認定 デベロッパー – アソシエイト(AWS Certified Developer – Associate)の学習方法 - NRIネットコムBlog
小西秀和です。 この記事は「AWS認定全冠を維持し続ける理由と全取得までの学習方法・資格の難易度まとめ」で説明した学習方法を「AWS 認定 デベロッパー – アソシエイト(AWS Certified Developer – Associate)」に特化した形で紹介するものです。 重複する内容については省略していますので、併せて元記事も御覧ください。 また、現在投稿済の各AWS認定に特化した記事へのリンクを以下に掲載しましたので興味のあるAWS認定があれば読んでみてください。 ALL Networking Security Database Analytics ML SAP on AWS Alexa DevOps Developer SysOps SA Pro SA Associate Cloud Practitioner 「AWS 認定 デベロッパー – アソシエイト」とは 「AWS 認定
2024年1月に発生したMicrosoftの上級幹部チームへのハッキングは、国家に関連した世界有数の脅威グループによる積極的で大胆な行動と見られている。 ベテランの研究者や業界アナリストは、この攻撃についてMicrosoftのセキュリティ能力における長年の弱点を再認識させるものだと考えている。 この他、ビジネスアプリケーションとクラウドコンピューティングで圧倒的なシェアを誇るMicrosoftは、これまであまりにも自由だったとの見方もある。 スタンフォード大学のサイバーポリシーセンターのフェローであり、ホワイトハウスでサイバーポリシーを担当するディレクターを務めたA.J.グロット氏は「はっきりさせておきたいのは、Microsoftは犯罪の被害者だということだ。しかしサイバー領域におけるMicrosoftの行動は、車を荒れた地域に駐車し、ドアを開けっ放しにして貴重品を見えるところに放置したの
[アップデート]AWS SSOでユーザーへサインイン時にMFA登録を要求できるようになりました！ | DevelopersIO
AWS SSOでサインイン時にMFA（多要素認証）デバイスの登録をユーザー自身に行ってもらえるようになりました！ AWS Single Sign-On enables administrators to require users to set up MFA devices during sign-in AWS SSOは以前からMFAアプリを使用した多要素認証に対応していました。 しかし、MFAデバイスの登録はログインするユーザーではなく、管理者権限をもつユーザーで行う必要がありました。 今回のアップデートで、管理ユーザーがMFAデバイスを設定することなく、ログインするユーザー自身がMFAデバイスを登録できるようになります。 やってみた AWS SSOのマネジメントコンソール画面を開いて、 設定 メニューを選択し、多要素認証の 設定 ボタンから設定します。 サインイン時にMFAデバイスを登
![[アップデート]AWS SSOでユーザーへサインイン時にMFA登録を要求できるようになりました！ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/dc28c45bef8bd0322aa905f532749cfa289fd3c7/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-single-sign-on.png)
第700回でも紹介したように、Mattermostと言えば、Slackと双璧をなすFLOSSでセルフホスト可能なチャットサービスであり、定型ワークフローを管理する「Playbook」と、かんばんライクなタスク管理ツールである「Boards」が統合され、「オンラインコラボレーションツール」でもあります。今回はMattermostの基本的なカスタマイズ方法を紹介しましょう。 Mattermost Omnibusのカスタマイズ 第700回ではDebianパッケージ版のMattermostである「Mattermost Omnibus」をインストールしました。今回はまず、このMattermost Omnibusをカスタマイズしてみましょう。改めてリストアップすると、基本的な設定方法は次の4パターンになります。 Mattermost Omnibusの設定ファイルは「/etc/mattermost/m
スマートフォンを機種変更したのでMicrosoft Authenticatorアプリを新しい端末に移行してみた | DevelopersIO
こんにちは、CX事業本部の若槻です。 Microsoftアカウントで多要素認証を設定したい場合は、Microsoft Authenticatorアプリ（認証アプリ）をスマートフォンに導入することにより、所有要素を使用した認証が設定可能となります。 Microsoft Authenticator | Google Play 今回は、今まで認証アプリ端末として使用していたスマートフォンを機種変更したため、新しい端末を認証アプリ端末として登録した際の手順をご紹介します。 なお、Microsoftアカウントには、 一般向けアカウント Azure（Microsoft 365）アカウント の2種類がありますが、今回はAzure（Microsoft 365）アカウント向けの内容となります。 手順 追加のセキュリティ確認 ページを開く Microsoftアカウントの多要素認証の設定は「追加のセキュリティ確
週刊Railsウォッチ: Ruby 3.1にYJITマージのプロポーザル、Rubyのmagic historyメソッド、JSのPartytownほか（20211012後編）｜TechRacho by BPS株式会社
週刊Railsウォッチについて 各記事冒頭には🔗でパーマリンクを置いてあります: 社内やTwitterでの議論などにどうぞ 「つっつきボイス」はRailsウォッチ公開前ドラフトを（鍋のように）社内有志でつっついたときの会話の再構成です👄 お気づきの点がありましたら@hachi8833までメンションをいただければ確認・対応いたします🙏 TechRachoではRubyやRailsなどの最新情報記事を平日に公開しています。TechRacho記事をいち早くお読みになりたい方はTwitterにて@techrachoのフォローをお願いします。また、タグやカテゴリごとにRSSフィードを購読することもできます（例:週刊Railsウォッチタグ） 🔗Ruby 🔗 YJITマージのプロポーザル（Ruby Weeklyより） Feature #18229: Proposal to merge YJIT
ESETは2024年4月3日（スロバキア時間）に公式ブログで、安全にサービスを利用できるパスワードの変更頻度について解説した。 スマートフォンの顔認証やその他のバイオメトリクス方式によるパスワードレス認証は、シンプルで安全なログイン体験を提供している。しかし、特にデスクトップではパスワードレス認証がいまだ標準とは言えず、パスワードへの依存が続いている。 ESETは、資格情報を安全に保つためにはどのくらいの頻度でパスワードを変更する必要があるのか、パスワードのベストプラクティスを下記のように紹介した。 パスワードの変更が意味を成さない理由 関連記事 「無線LAN」驚きの侵入手口とその抑止策 サイバー攻撃者は、驚くほど単純な方法で無線LANに侵入することがある。こうした攻撃は幾つかのシステムの設定変更やツールの導入で抑止可能だ。無線LANのセキュリティ対策の方法を説明する。 徳丸氏が探る“認証
Center of Internet Security (CIS) の CIS Benchmarks は、セキュリティ担当者がサイバーセキュリティ防御を実装および管理するのに役立つ、世界的に認められたコンセンサス主導の一連のベストプラクティスです。このガイドラインは、セキュリティエキスパートのグローバルコミュニティで作成されており、組織が新たなリスクに対してプロアクティブに自社を保護するのに役立ちます。企業は、CIS Benchmarks ガイドラインを実施して、自社のデジタルアセットにおける設定ベースのセキュリティの脆弱性を限定しています。 CIS Benchmarks などのツールは、25 を超えるさまざまなベンダー製品のデプロイに関して、セキュリティのベストプラクティスの概要を示しているため重要です。これは、セキュリティの専門家や対象分野の専門家によって開発されました。これらのベスト
多要素認証などクラウドの統合認証基盤サービスを手掛ける米Oktaは3月23日（現地時間）、20日にサイバー犯罪グループLapsus$が投稿したOktaの内部システムの画面のスクリーンショットについて説明した。 Oktaは22日には、Lapsus$が投稿したスクリーンショットが自社のものであることを認め、これが1月に発生したサイバー攻撃に起因するものだと説明していた。 Oktaのデビッド・ブラッドベリーCSO（最高セキュリティ責任者）は、1月にシステムに侵入されてからLapsus$がスクリーンショットを投稿するまでの経緯を時系列で説明した。 侵入されたのはOktaではなく、カスタマーサポートを外注している米Sitel Group傘下のSYKESという請負企業のサポートエンジニアのノートPCだったという。「ここで起きたシナリオは、カフェでPCから離れた事例に似ている。攻撃者はこの場合、実質的に
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
マイクロソフト、「Emotet」感染による顧客ネットワークの停止事例を公開
Amazon S3 からの 403 アクセス拒否エラーをトラブルシューティングする
「セキュア・バイ・デザイン」と「セキュア・バイ・デフォルト」の“戦術”とは？ 全20項目を紹介
SAML認証について - Admina by Money Forward
三越伊勢丹、新たに約3万件の会員情報漏えい明らかに ECサイトに不正ログイン
KeePassXCでパスワードもMFA(TOTP)もssh秘密鍵も管理する方法
ドワンゴの「ものづくりが好き」というエンジニア文化の話 - ドワンゴ教育サービス開発者ブログ
多要素認証（MFA）だけでは守れないフィッシング攻撃の対策 | LAC WATCH
米大統領選、中ロが大規模サイバー攻撃 Microsoftが警告 - 日本経済新聞
Active Directory のセキュリティ保護に関するベスト プラクティス
買ったらまず実施！RaspberryPiのセキュリティ対策 - Qiita
政府情報システムにおける セキュリティ・バイ・デザインガイドライン
2020-07-29 夏のAWSコンテナ祭り with Amazon ECS #ECSMatsuri｜諏訪真一
第12回：Azure ADの多要素認証を活用してセキュリティを強化【Microsoft 365徹底解説】
ランサムウェア「Egregor」の被害受けた組織は150超、防御難しく
奈良の生協、49万人分の個人情報漏えいの恐れ 昨年10月のサイバー攻撃で
米国上場企業分析｜DocuSign, Inc.（DOCU）｜neko｜note
YouTuberのチャンネル乗っ取りを狙うCookie盗難マルウェアがロシアのハッカーによって使われている
Amazon Cognitoを試してみた（ユーザプール編） - Qiita
『Hi！I amミスターフリーアドレス！』今日からあなたもきっと働くが楽しくなる！
T-Mobileは2022年に100回以上スマホを乗っ取る「SIMスワップ」などのサイバー犯罪被害を受けていると判明
Microsoftの不備と怠慢を暴いた、非常にシンプルなサイバー攻撃とは？
第702回 Mattermostの基本的な設定とバックアップ・リストア | gihyo.jp
パスワードの定期的な変更はリスク軽減につながるわけではない アカウントを安全に保つには？
CIS ベンチマークとは? - CIS ベンチマークの説明 - AWS
Lapsus$に侵入されたOkta、「影響を受けた顧客は366社」 経緯を説明