エン・ジャパンは3月30日、転職情報サイト「エン転職」のWebサーバに不正アクセスを受け、25万5765人分の履歴書が漏えいした可能性があると発表した。外部で取得したID・パスワードを悪用して総当たりで不正ログインする「リスト型攻撃」を受けた可能性があるという。 漏えいした可能性があるのは、2000年以降にエン転職に登録した人のうち、Web上に登録した履歴書25万5765人分。すでに退会した人のデータが漏えいした可能性はないとしている他、履歴書や企業側が利用する管理画面の改ざんなども確認していないという。 問題を受け、エン・ジャパンは30日午後3時に、不正ログインされたユーザーのパスワードをリセット。不正にログインしていた通信元のIPアドレスもブロック。被害の拡大を防ぐため、他のユーザーのパスワードもリセットし、再設定するようメールで連絡したという。現在は警察への通報や個人情報委員会への報
Google Cloud案件を1年半程度経験してみてAWSと比較しながら違いを整理してみた - NRIネットコムBlog
本記事は 【Advent Calendar 2023】 15日目の記事です。 🎄 14日目 ▶▶ 本記事 ▶▶ 16日目 🎅 はじめに 想定している読者 一覧 まとめてみて 参考 はじめに クラウド事業推進部の小野内です。昨年5月にキャリア入社してから早1年半以上が経ちました。 入社以降、AWS、Google Cloud のデータ分析基盤の開発・運用に関わっておりますが、現在はGoogle Cloud メインでやってます。 試行錯誤の毎日ですが、Google Cloud案件をどんどん盛り上げていきたい所存です。 1年ほど前の投稿記事では、 Google Cloudの学び方について触れましたが、本記事ではGoogle Cloud案件を1年半程度経験してみて、 AWSと比較しながら、Google Cloudの主要なサービスについて、違いを整理しました。 想定している読者 AWS案件に半年以
IPv6アドレススキャン攻撃:Geekなぺーじ
IPv4では、アドレススキャン攻撃やポートスキャン攻撃は日常的に行われています。 ファイアウォールなしの状態でグローバルIPv4アドレスに接続していれば、すぐに攻撃を観測できます。 IPv6でもアドレススキャン攻撃は発生しています。私の家のネットワークでも、IPv6でのアドレススキャン狙いと推測されるトラフィックを簡単に観測できました。 ただ、いまのところ、私の家では、実際に利用しているIPv6アドレスを外部から発見できているようなスキャンの形跡を発見できておらず、主にステートフルDHCPv6や手動設定でのIPv6アドレスを探しているように見えました。 やはり、IPv4と比べると、IPv6の方がIPv6アドレススキャン攻撃の難易度は高いのだろうと思います。 ということで、IPv6でのアドレススキャン攻撃や、その他方法によって、稼働しているIPv6アドレスをどのように探すのかに関して解説して
首相をやめた安倍晋三氏が、産業遺産情報センターの用意したブーメランを脳天に刺していた件 - 法華狼の日記
「明治日本の産業革命遺産」が世界遺産に選ばれた時、強制労働などの問題も紹介する条件がつけられていた。 しかし日本側はきちんと約束を守るどころか、むしろ歴史的な問題を否認する方向へ力を入れている。 www.kinyobi.co.jp 同時代の日本国内でも問題になった炭鉱労働の過酷さについても、韓国からのいわれなき中傷であるかのように反発している。 世界遺産への選出を推進した安倍晋三氏も、当然のように問題性を否認する方向に動いている。 一例として、体調不良を理由に首相を辞めた直後の2020年10月、軍艦島と呼ばれた端島炭鉱の生活についてツイートしていた。 世界最大の人口密集率といわれた当時の端島での生活をものがたる様々な資料が展示されておりましたが、その中に台湾出身の徴用工である鄭新発さんが大切に残していた給料袋（給与＋ボーナス）がありました。 pic.twitter.com/x2Sy7U2B
久々に図を書きたくなったので、今回は AWS の VPC ネットワークの主にルーティングについて雑談気味に振り返っていきたいと思います。 基本的なところから、少し発展させた構成はどう実現するのか、ってのを学習用教材風にお絵かきしていきます。 はじめに 最近、実現できると思ってた部分が１つ通らなくて、詰んだかと一瞬諦めかけたところで、10分間くらい思案したらズバッと解決できて気持ちよかったんですよ。 我ながら物凄い泥々の技術を駆使して、発想通りにAWS仕様を回避したネットワークを構築してしまった。泥臭すぎてとてもブログに書けないけどっ…自分の中では満点かつスタイリッシュっ — 外道父 | Noko (@GedowFather) July 7, 2023 元々泥臭いエンジニアリングが得意だったとはいえ、こういう発想の展開力はクラウドだけ真面目にイジってても身につきづらいだろうな、と思い、そうい
サポート切れOS使っていけない論 今月Windows7のマイクロソフト標準サポートが切れた話があって、今後、Windows7を使い続けるのは危険だ！と盛り上がっています。OSという視点で言えば、実はiPhoneを動かすiOSだって、Android OSだって、サポート切れという概念はあります。OSベンダーのサポートが切れると危険危険言いますが、この「サポート切れOS使ってはいけない」について整理しておきたいと思います。 所有とリスクの微妙な関係 なぜ整理する必要があるかというと、ソフトウェアはお金を支払って所有するものであり永続的に使用する権利は購入者にあるから、です。買ったんだから使うなとかおかしいでしょ、という議論自体は存在します。 一方で、OSはインターネットにつながるのが当たり前の時代になりました。インターネットには絶えず脆弱性のあるOSを見つけようとする自動化プログラムが存在して
お名前.com Naviの不具合によるCoincheckとbitbankのドメイン名ハイジャックについてまとめてみた - piyolog
2020年6月2日にCoincheckはお名前.comの社有アカウントが不正アクセスを受けたと発表しました。またその翌日6月3日、GMOインターネットはお名前.comのサービス不具合を悪用した会員情報の改ざん被害が発生していると発表しました。この記事は公開時点(6/4 16時)では2社発表の関連を推測として記載していましたが、同被害を受けて4日に発表を行ったbitbankがこの2社の発表を取り上げ、同事象であると説明したことから一連の出来事として整理します。 登録アドレスを書き換えアカウント奪取 今回のドメイン名ハイジャックは大まかに次の手口だったとみられる。（お名前.comアカウントの不正アクセスの流れは一部推測） 今回のドメイン名ハイジャックの概要（推測含む） 攻撃者がお名前.com Naviの不具合（脆弱性）を悪用し、アカウント奪取後にドメイン登録情報(whois DB)を変更した。
Starlink(スターリンク)のネットワーク、アンテナのIPアドレス、NATの仕様などを調べました | IIJ Engineers Blog
Starlinkのネットワーク仕様は変化していきます、CGNATのポート番号の仕様についてはこちらも参照ください。 Starlinkのネットワークを再確認したら色々変わっていました 今回はネットワーク構成をもう少し深堀してアンテナから衛星側ネットワークやCGNATの仕様などについて調査したいと思います。過去ブログも是非一緒にご参照ください。 Starlink(スターリンク)がやってきたのでネットワークを調べました Starlink(スターリンク)の遅延を日本とアメリカとドイツで長期収集しています Starlinkを構成するネットワーク機器はこんな感じになっています。これまでDishと書いていましたが、アンテナと書いた方が直感的かなと思いますし、いちいちStarlink XXXXと書くのも長いので簡潔な表記にしています。 拠点やゲートウェイは国毎に用意されています。アンテナからの通信はコンス
自分のウェブサイト( http://www.3qe.us/ )をCloudFront+S3構成からCloudflareを使った構成に乗り換えたので、ひっかかった点やつまづいた点などをメモしておく。 結論としては普通に移行できたが、メールとの兼ね合いでDNSまわりでちょっと配慮が必要な部分があるかも、といった具合。試したいときは全部読んでからチャレンジしよう。 ウェブサイトの静的配信にCloudFrontとS3を使っていた モチベーション: ALBのコストが高い Cloudflare 構成 Cloudflare Pages Cloudflare+ Denoflare + R2 修正 R2のstatic hosting機能を直接使う 手順 Webサイト追加 R2バケット作成 APIトークン作成 Denoflareでworkerをデプロイする 完了 まとめ オチ 参考文献 ウェブサイトの静的配信
QUICやHTTP/3で利用を避けるべき送信元ポートの議論についての考察 - show log @yuyarin
https://www.slideshare.net/yuyarin/quicnat 最近QUICとNATについての話をJANOGで紹介するぐらいQUICという新しいプロトコルに既存のネットワークインフラがどう適応していくかを考えています。 id:asnokaze さんの記事で紹介されているように、QUICやHTTP3/3で送信元UDPポートとして利用を避けるべきポートの議論が行われています。これはUDPのリフレクション攻撃のへの対応としてインフラストラクチャ側で特定のUDPポートのトラフィックをブロックしているケースがあるからです。実際に私もこのブロックの設定を行ったことがあります。 これはUDPというプロトコルの特性に起因する問題であり、QUIC, HTTP/3に限らずUDPを使うプロトコルに広くある問題です。 asnokaze.hatenablog.com QUICクライアント側で送
NISCと気象庁が使用していたメール関連機器へのサイバー攻撃についてまとめてみた - piyolog
2023年8月4日、内閣サイバーセキュリティセンター(NISC)と気象庁はそれぞれ電子メール関連のシステム・機器から不正通信の痕跡が確認され、メールデータの一部が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。 政府組織に対しゼロデイ攻撃 NISCと気象庁及び気象研究所、国立科学博物館、教職員支援機構が各々運用を行っていた電子メール関連システム・機器に脆弱性が存在しており、その脆弱性に関連した不正通信が確認された。 今回確認された不正通信により、メールデータの一部が外部に流出した可能性がある。両組織ではメールアドレス等の個人情報が漏えいした可能性を排除できないとして個人情報保護委員会に報告した他、対象者にも個別に連絡を行う。公表時点では流出可能性のある情報の悪用は確認されていないが、NISCでは約5,000件の個人情報が対象に含まれており、流出可能性のある事案が
ThreeDPoseTrackerとは まずは下記の動画をご覧ください。画像をクリックすると別タブでYoutubeが開きます。 ThreeDPoseTracker v0.1.0 Introduction movie 他にもこの辺を見て頂くとわかりやすいかもしれません。 USBカメラだけでできる モーションキャプチャを作ってみた - Motion capture with USB Cam only - 【NT京都2020】 https://youtu.be/L0ieoaOD6Po ThreeDPoseTrackerは、USBカメラや踊ってみた等の動画だけでモーションキャプチャーができるWindows10用アプリケーションです。ノートPCであれば内蔵のカメラを使えば追加の機材は必要ありません。ですが、ちょっと（かなり）強めのグラフィック環境が必要です。具体的にはGTX1050以上は欲しいです。
しゅーとです。 コインチェックは 6月2日 、ドメインレジストラである「お名前.com」の管理アカウントに不正にアクセスされ、ドメイン登録情報が変更されたこと、またそれによって第三者によるメールの不正取得が行われたと発表しました。 プレスリリース(第一報)は以下です。 当社利用のドメイン登録サービスにおける不正アクセスについて（第一報） 攻撃を受けた時刻が 5/31 0:05 で、検知時刻が 6/1 12:00 と攻撃に気付くまでの時間は1日であり、また対応完了まで2日足らずとのことで、検知・対応は非常に迅速だったと思います。 今後第二報で詳細な内容が発表されると思いますが、プレスリリースから攻撃者がどのようにメールの不正取得を行ったのか、インターネット上の情報を用いて調査してみました。 ドメインハイジャックをされている関係上、メール以外にもSSL証明書の不正取得や偽Webサーバによる盗聴
最近YouTuberのリュウジの料理を毎日作っているので至高とか無限とか言いがちですが個人の感想です。万人にとって美味しい料理はないように、万人にとって至高のツールは存在しません（何の話？）。ちなみに公開してすぐバグを見つけてしまったので全然至高じゃありませんでした。 要約 概要 特徴 使い方 流れ 事前準備 インタフェースの定義 SDKの生成 プラグインの実装 ホストの実装 実行 発展 Host Functions ファイルアクセス その他 苦労した点 まとめ 要約 Goでプラグイン機構を実現するためのツールを作りました。Protocol Buffersのスキーマからコードを自動生成するので簡単にプラグイン機構を実現可能です。内部的にはWebAssembly（Wasm）を使っています。最近はWasmはブラウザ外での利活用が進んでおり、今回のツールもブラウザは一切関係ないです。Wasmはサ
2021年7月2日、米フロリダ州のIT企業のKaseyaは同社のRMM（リモート監視・管理）製品である「Kaseya VSA」をオンプレミスで利用している顧客に対してサイバー攻撃が発生していると公表しました。同製品を運用する顧客の多くはMSP事業者で、MSPサービスを利用する多数の中小企業などに影響が及びました。ここでは関連する情報をまとめます。 1．最大1500組織にランサムウエアの影響か Kaseya VSAの未修正の脆弱性が悪用され、VSAのシステム管理対象の端末に対してランサムウエアに感染するPowerShellスクリプトが配られ実行された。 Kaseya VSAはマネージドサービスプロバイダーに導入されるケースが多く、MSP事業者が攻撃を受けたことによりサービスを利用する多数の組織に被害が及んだ。一方で、Kaseyaが把握している当該事案のターゲットとなったMSP事業者数は50～
noteのIPアドレス漏洩と同様のリスクを持つSNS ID漏洩が修正されたので、何が起きてたかをまとめます（※ SNS連携の同意目的外利用は未修正）｜榊原昌彦
ただ今回大きく騒ぎになったのは、他の匿名サービスで公開されているIPアドレスと一致する可能性でした。IPアドレスは時間ごとの使い捨てである場合が多いので、タイムスタンプがないと同一性は保証されませんし、仮にあったとしても同一LANを利用してる別人（同僚など）かもしれません。 とはいえ、これは正確度が100%ではないという話でしかないため、以下のような記事・推測が多く行われました。 ここで重要なのは「ユーザ（投稿者）が意図していない形で他サービスと結び付けられて公開されること」はユーザにとって未知のリスクであるという点です。 SNS ID漏洩という問題 SNSのID漏洩についても同様の問題を抱えていました（現在は修正済み）。 以下は、記事データを取得するAPIのレスポンスの一部です。 `user` というオブジェクトに `socails` というキーがあり、そこでSNSログインによって取得で
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは、米国時間1月25日に同社のWANに発生した大規模障害に関する詳細を公表した。この障害では、世界中の顧客が「Azure」や「Microsoft 365」、「Power Platform」などのサービスにアクセスできなくなった。 影響が数時間に及んだ今回の障害では、「Microsoft Teams」「Exchange Online」「Outlook」「SharePoint Online」「OneDrive for Business」「Microsoft Graph」「Power BI」「Microsoft 365 Admin Portal」「Microsoft Intune」「Microsoft Defender fo
はじめに 近年、サイバーセキュリティに対する意識の高まりを感じている。 国会では「セキュリティ・クリアランス制度」なるものの検討が進んでおり、誰もが知っているような上場企業であれば当たり前のようにサイバーセキュリティ対策を専門で行う部門が設置されるようになってきた。 筆者が実際にクライアントと会話していても、以前のように「サイバーセキュリティ対策の必要性がわからない」というケースは減ってきており、「サイバーセキュリティ対策をとりあえずやりたい」という経営層が増えているようにも感じる。 そして、需要が高まれば供給側の企業も増えるのが資本主義の性(さが)である。 大手SIerやコンサルティング会社はこぞってサイバーセキュリティ分野への増員に力を入れている。 サイバーセキュリティ分野を得意としたベンチャー企業の上場事例も多数見受けられる。 そんな中、近年急速に拡大しているビジネスが24時間365
Raspberry Pi Pico Wがいよいよ日本でも販売を開始しました。昨年6月末にリリースされてから9ヶ月待たされましたね……。 www.raspi.jp 暗箱にぶち込んだり180日の特例申請をしたりすれば使えはしましたが、わたしはわりと律儀に待っていたので、これから色々実装です。 なお、Pico W関連の近況としては、先月上旬に公式のSDKにBluetooth対応が入ったことと、同じく先月上旬にPico Wのサポートが追加されたCircuitPython8.0.0がリリースされたことが挙げられます。よって、PicoWで色々本格的に遊べる環境が整ったのもわりと最近だったりします。 github.com github.com ひとまず3つポチった スイッチサイエンスさんで上限いっぱいの3つ分をポチって、2日で到着。ありがとうございます！OSCの展示に間に合わせられそう〜！技適表示はリー
物理Linuxサーバ構築用にThinkCentre M75q Tiny Gen2を購入 - Magnolia Tech
普段、メインで使っているPCがMacBook Air 2018なので、さすがにDockerでコンテナをたくさん立ち上げたまま、ブラウザで調べ物する、みたいな使い方が辛くなってきた。夏場はファンも凄い回っちゃうし、レスポンスはすごく悪くなるし。 メインPCを買い替えようかとも思ったけど、ブラウザを使うくらいの作業なら特に不満は無い。それにそもそもメインPCでLinuxが動いている必然性も無いし、画面も要らないのでサブPCとしてデスクトップPCを用意して、Linuxをインストールする方に方向に転換。 部屋に大きなデスクトップが有るとサイズ的に圧迫感が有るし、複数のマシンのファンの音が同時に鳴るのは苦手なので（データセンタではないので...）、作業している場所から離れた所の隙間に設置できるような、1リットルサイズの小型PCを探すことにした。 Amazonとかで探すと色々と出てくるけど、それなりの
最大同時接続数を1に制限したRDSにRDS Proxyを構成して基本動作を押さえよう | DevelopersIO
CX事業本部＠大阪の岩田です。 社内で需要がありそうだったので、RDS Proxyの基本動作について簡単にまとめてみました。クライアントからの最大同時接続数を1に設定したRDSに対してRDS Proxyを構成し、クライアントアプリケーションに見立てたEC2からいくつかのパターンで接続を試行した結果をまとめています。 環境 今回検証に利用した環境です。 RDS for PostgreSQL 11.8-R1 インスタンスクラス db.t3.micro max_connections: 9 バックグラウンドでrdsadminユーザー、rdsproxyadminユーザーがDBに接続するのを考慮して9に設定しています。今回の環境であればmax_connectionsを9に設定することで非マスターユーザーからの同時接続数を1に制限することができます。 RDS Proxy エンジンの互換性: Postg
Windows 10/11のファイアウォールは、コントロールパネルの「Windows Defender ファイアウォール」からGUIで設定が可能だ。ただ、これが意外に面倒。もっとも通常は、アプリがインターネットと接続するときにルールが自動で設定され、ユーザーは確認するだけなので、わざわざなにかをする必要は基本的にない。 しかし、一部のアプリケーションでは、ファイアウォールを手動で設定する必要があり、また、ネットワーク関連のちょっとした実験などで、LAN側からアクセスする場合にも、ファイアウォールにルールを追加して特定のパケットを通すことが求められるケースがある。こうしたファイアウォールへのルールの追加を俗にファイアウォールを「開ける」などという。 今回は、PowerShellを使って、ファイアウォールを「開ける」作業を簡単にする方法を解説する。 そもそもWindows Defenderファ
Twitter Facebook LINEでおくる B! Bookmark 更新通知を受ける JリーグオフィシャルブロードキャスティングパートナーのDAZNは11日、利用者宛にメールを配信し、2月14日に価格改定を行うことを通知しました。 月額プランでは現在の3700円から4200円への値上げとなり、3年連続の値上げとなります。 📺 3年連続の値上げに 📈#DAZN が2024年2月14日以降の利用プランを発表… 月額プラン 3,700円→4,200円 年間プラン(一括払い) 30,000円→32,000円 年間プラン(月々払い) 36,000円→38,400円 新サービスとしてプロ野球をお得な価格で視聴できる「DAZN Baseball」の提供も開始。(月額2,300円） — GOAL Japan (@GoalJP_Official) January 11, 2024 こちらが2月1
Docker for Mac が遅いので代わりに VirtualBox 上で Docker を使う - Qiita
Node.js の開発では Docker for Mac が便利ですが、仕組み的にディスクアクセスが遅くなるので、処理性能が半分とまではいかないものの、３割くらい遅いです。そこで Docker for Mac のお手軽環境を諦めて、代わりに VirtualBox 上で Docker を使うと、ほとんど性能劣化なく動くようです。 VirtualBox 上で動かす VM は何でも良いのですが、プロダクション環境は AWS が多いので、今回は VM にも Amazon Linux 2 を使うことにします。各ファイルも VirtualBox 上の VM 側に置いて、Mac から NFS でアクセスします。 (1) VirtualBox をインストールする。 https://www.virtualbox.org/wiki/Downloads の「OS X hosts」から、VirtualBox をダ
Cloudflare Zero Trustを利用して開発環境への安全なアクセス方法を構築する | CyberAgent Developers Blog
この記事は CyberAgent Developers Advent Calendar 2022 の6日目の記事です。 AI事業本部の黒崎(@kuro_m88)です。CyberAgent Developers Advent Calendar 8回目の参戦です！ 今年はCloudflare Zero Trustを利用してオフィスでもリモートワークでも安全に必要な人だけが開発環境にアクセスできる仕組みを作ったので、それについてご紹介します。 開発環境におけるアクセス制御の課題 私が所属するサイバーエージェント AI事業本部の小売DX部門では様々な小売企業のアプリやCDPと呼ばれるデータ基盤の開発をしています。 事業内容についてはこちらをご参照ください。 この組織では、立ち上げから2年以上が経過し、組織として抱えるプロジェクトやメンバ、職種がかなり多くなってきました。 大きな組織の中で複数の顧客
こんにちは。 久しぶりに帰省したところ、実家の給湯器のリモコンがIoT対応の製品 RC-G001MW-2 （ノーリツ）になっていました。これはハックしなければならないと思っていじってみたところ、HEMS向けの機能を利用することでわりと容易に制御できたので記事にしてみた次第です。 （画像：ノーリツ公式サイトより） 成果物のコマンドラインツールはnpmに公開しているので、同じモデルや同一プロトコルに対応した給湯リモコンをお持ちの方は実験できるかもしれません（詳細は記事末尾参照）。 HEMS HEMS (Home Energy Management System)とは宅内のエネルギー使用量を管理・可視化する装置です。昨今のIoT対応家電はHEMSとの連携が前提になっているものも増えているようです。 ECHONET Lite HEMSのために国内で策定された通信規格がECHONET Lite（エコ
SNS『mstdn.jp』、誹謗中傷への対応の事務負担増に耐えられないと判断して6月30日で閉鎖へ（篠原修司） - エキスパート - Yahoo!ニュース
連合型SNS『マストドン』において日本2位のインスタンス（サーバー）となる『msdtn.jp』と、同3位の『mastodon.cloud』のサービス終了が発表されました。 両インスタンスを運営する合同会社分散型ソーシャルネットワーク機構は、2020年6月30日をもってサービス提供を終了するとのこと。 閉鎖理由には、インターネット上の誹謗中傷に対して今後、訴訟や開示請求がより一般的となることや、政府機関からの対応強化の指示や法制強化などが実施される可能性が予想されることから、事務負担増に耐えきれないと判断したことが挙げられています。 中傷投稿者の個人情報開示の見直しを検討中 インターネット上に誹謗中傷を投稿した人物の個人情報開示については、先月4月23日に「プロバイダ責任制限法」の見直しを検討する研究会（発信者情報開示の在り方に関する研究会）の第1回会合が開催されています。 研究会では発信者
AWS と GCP を VPN でつないでみたら、マルチクラウドの夢が広がった話 - Hatena Developer Blog
こんにちは。はてなで SRE をしている id:nabeop です。最近の趣味は、AWS CDK で TypeScript と戯れることです。 今回は、社内の開発合宿で AWS と GCP を VPN で接続して、実運用に載せた場合の課題や構成を検討したので、その内容について書いてみます。 VPN で AWS と GCP をつなげたい背景 どんな構成の VPN を開発合宿で試したか VPN の見え方が AWS と GCP で異なる構成 手軽に VGW で試してみたけど TGW でも大丈夫 VPN エンドポイントにおける IP アドレスの扱い GCP VPC を構成してみて浮上した課題 複数のサービスが VPN を共有する構成 VPC ピアリングで接続するサブネットが作成される おわりに VPN で AWS と GCP をつなげたい背景 はてなでは、クラウド環境として長らく AWS がデファ
無料で使えるGoogleのIDaaS「Google Cloud Identity Free Edition」を利用してみた | DevelopersIO
無料で使えるGoogleのIDaaS「Google Cloud Identity Free Edition」を利用してみた みなさん、こんにちは！ AWS事業本部の青柳＠福岡オフィスです。 今回は、Googleが提供する IDaaS (Identity as a Service) である Google Cloud Identity を使い始めるまでの流れをご紹介したいと思います。 「Google Cloud Identity」とは Googleが提供するユーザーアカウントのサービスと言えば、真っ先に「Googleアカウント」を思い浮かべる方も多いのではないかと思います。 Googleアカウントと「Google Cloud Identity」は何が違うのでしょうか？ 大きな違いが、Googleアカウントが個人向けのサービスであるのに対して、Google Cloud Identityは組織 (
社内システムのセキュリティ向上のため、Lambda + CloudFront + S3でインフラ基盤を再構築した話 - Uzabase for Engineers
はじめに ソーシャル経済メディア「NewsPicks」SREチーム・新卒エンジニアの樋渡です。今回は、AWSサービスである「Lambda」「CloudFront」「S3」を用いて、弊社で使用している社内向けシステムの基盤を再構築し、開発者体験の向上やセキュリティ対策を行なったお話です。 お話の内容 弊社で使用している社内向けシステムの一つに「Watson」というシステムがあります。「Watson」とは簡単にいうと「NewsPicks」のユーザーIDをもとにユーザーごとの情報を検索・閲覧できるシステムで、お客様からの問い合わせ対応等に活用される重要なシステムです。「Watson」は構築されたのが８年前と歴史が古く、歴史が古い故に数々の問題を抱えていました。今回のお話では、歴史の古い社内システムのインフラとバックエンドを更改し抱えていた問題を解決したぜ！というお話となっています。 抱えていた課
AWS re:Invent 2020の会期中に発表された新サービス/アップデートのまとめです。 今年も、後から出来るだけ素早く簡単に振り返ることができるようにまとめました！ 凡例 (無印) 新サービス (Update) 既存サービスのアップデート (APN) パートナー制度に関連したリリース/アップデート 12/1 (火) 今年の開幕は「Amazon EC2 Mac instances」でした。 Amazon EC2 Mac instances macOS用のAmazon Elastic Compute Cloud （EC2） Macインスタンス EC2 Macインスタンスを使用すると、iPhone、iPad、Mac、Apple Watch、Apple TV、Safari用のアプリ開発者は、macOS環境を数分でプロビジョニングしてアクセスし、必要に応じて容量を動的に拡張し、AWSの従量課
先日、Kamal 2でNext.jsを安価なVPSにデプロイする勉強をしながら、Next.js App Router/Server ActionでCRUDのデモアプリを作成しました（コードはGitHub）。そのときにセキュリティについて気になって点がいくつかあり、勉強しながら対策をしましたので紹介したいと思います。 私自身は業務でNext.jsを書いた経験が限定的です。的外れな議論をしているかもしれません。あくまでもRuby on Railsアプリを書くときと同じ気持ちでNext.jsのアプリを書いたとき、セキュリティ上で気になった点を挙げているだけです。私が見落としている点や誤っている点等ありましたら、コメントやX等で教えていただけると大変ありがたいです。 その１：データ漏洩の危険性 この問題についてはムーザルちゃんねるが紹介しています。またNext.jsの公式ブログでも対策が紹介されて
富士通が運営するプロジェクト情報共有ツール「ProjectWEB」が不正アクセスを受け顧客の情報が流出した問題で、警察庁のシステム情報も漏洩していたことが日経クロステックの取材で2021年9月6日までに分かった。 警察庁は日経クロステックの取材に対し、流出した情報は「過去に運用していたシステムの設計情報など」と書面で回答。「当該システム撤去後においても富士通が（データを）廃棄しておらず、同社に対する不正アクセスにより情報が流出したと、2021年5月末以降に報告を受けた」（警察庁）と説明した。富士通に対して被害の実態を調査するよう求めているという。 警察庁は「情報が流出したシステムは不正アクセスがあったとされる時点で既に運用を終了し撤去済みであり、特段の問題は生じていない」と説明。富士通に開発や設計、保守などを委託している現在運用中のシステムについては「追加の対策を講じるなどセキュリティーの
Amazon Web Services（AWS）は、サービスを外部に公開するためのパブリックなIPv4アドレスに対して、1個1時間あたり0.005ドルの課金を今月（2024年2月）からスタートしています。パブリックなIPv4アドレスへの課金は、Amazon EC2、Amazon RDSを含むAWSの全てのサービスが対象です。 1時間当たり0.005ドルは1日当たりに換算すると0.12ドル、1カ月を30日とすると1カ月当たり3.6ドル。1ドル140円換算で1カ月当たり504円です。 パブリックなIPv4アドレスへの課金は昨年（2023年）7月に発表されており、予定通りに実行されたことになります。 参考：AWS、IPv4アドレスの使用に課金、1時間当たり0.005ドル。2024年2月1日から 最大手のAWSがIPv4有料化に踏み切った意味 インターネットで広く使われているIPv4アドレスは、1
2021/08/16 日本の広範囲のグローバル IP の IPsec VPN 装置宛へのサイバー攻撃の注意喚起と「SoftEther VPN」/「PacketiX VPN」への影響を防ぐための設定の確認のお願い・新ビルドのお知らせ - SoftEther VPN プロジェクト
2021/08/16 日本の広範囲のグローバル IP の IPsec VPN 装置宛へのサイバー攻撃の注意喚起と「SoftEther VPN」/「PacketiX VPN」への影響を防ぐための設定の確認のお願い・新ビルドのお知らせ はじめに 本ドキュメントは、2021/08/16 公開の 「SoftEther VPN」/「PacketiX VPN」の Ver 4.37 Build 9758 Beta に関連する情報を提供します。 本ドキュメントは、「SoftEther VPN」/「PacketiX VPN」をインストールし管理されている VPN サーバーの管理者様で、IPsec 機能 (L2TP/IPsec, EtherIP/IPsec または L2TPv3/IPsec) を有効にされ、かつ、以下の条件に合致する方向けのものです。 「SoftEther VPN」/「PacketiX VPN
Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature / Mediumの独自ドメインプランを使って訪問者のメールアドレスが窃取できる脆弱性の開示
0_medium_vuln_en.md Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature Author: mala Introduction This article describes a vulnerability in a web service called Medium that allows you to steal visitors' e-mail addresses by using custom domain plan of Medium. This is done as my personal activity and is not related to my organization.
「こちらにアクセスしていませんか」 2022年秋、警視庁公安部サイバー攻撃対策センターの捜査員が東京都内のアパートに住む30代の男性会社員宅を訪れた。都内の大手企業へのサイバー攻撃の発信元が、この男性宅のルーターだったことを公安部は突き止めていた。捜査員は通信記録を示した上で男性を問い詰めた。 しかし、男性には全く心当たりがなかった。自宅でネットを使うのは検索やゲームのときぐらい。男性は捜査員の来訪に驚き、必死で否定した。不審に思った捜査員が男性宅のルーターを調べたところ、驚くべきことが分かった。 このルーターは、無線接続などに使う家庭用のもので、特異なものではない。ただ、外部から特定のシステムに接続する際に使う仮想専用線「VPN」と、ネット上の住所にあたるIPアドレスが変動しても外部から同じ接続先に安定的に通信できる「DDNS」と呼ばれる機能がいずれも有効化されていた。
はじめに 最近 Raspberry Pi を3台購入し、自宅に Kubernetes クラスタを構築しました。 この記事ではその体験記を共有します。 また、自宅 k8s を構築する際に参考になる記事になる事も目指しています。 モチベーション 仕事で GCP 上で Kubernetes を使ったので、個人で Kubernetes クラスタを構築してさらに学習を深めたいと思いました。 実務ではクラウドサービスを使いますが、維持費が高額です。一日システムを立ち上げておくだけで数千円、一ヶ月では数万円かかってしまいます。 minikube などを用いてローカル環境で Kubernetes を動かすこともできますが、シミュレーター上の動作になってしまうので、どうせなら実際の環境に近いものを構築したいと思いました。 そこで、Raspberry Pi を用いることで、実際の環境に近い学習環境を構築してみ
こんにちは。pixivのnamazuです。 先日開催されたPIXIV DEV MEETUP 2024にて、『pixivというシステムはどんな形をしているのか、それはなぜか。』というテーマで発表をさせていただきました。当日、セッションにご参加いただいた皆さま、そしてフィードバックをいただいた方々に、改めて感謝申し上げます。 Webサービス開発において面白い点の一つは、どのサービスもその要件や状況に応じて異なる選択がなされることです。結果として、類似点がある場合もありますが、細部において同じものはなく、すべてがユニークです。弊社内でもさまざまな違いが見られますが、業界全体を見渡すとさらに多様性が広がっていることでしょう。 今回の発表では、pixivのシステムに関する重要な要件や状況をいくつか取り上げ、現時点でどのような構造になっているかを、インフラストラクチャ、バックエンドアプリケーション、開
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「エン転職」に不正アクセス、履歴書25万人分が漏えいした可能性 リスト型攻撃で
AWS VPCルーティングの基本から発展構成例 | 外道父の匠
サポート切れのOSは使っていけないと万人を説得できるか - orangeitems’s diary
CloudFront+S3構成だった自分のサイトをCloudflare+R2に移行した - Lambdaカクテル
USBカメラモーションキャプチャーThreeDPoseTrackerの説明 - Qiita
コインチェックのドメインハイジャックの手法を調査した
メール中のURLに特殊なIPアドレス表記を用いたフィッシングに、フィッシング対策協議会が注意喚起 Amazon、ETC利用照会サービス、国税電子申告・納税システムなどをかたる
至高のGoプラグイン用ツールを作った - knqyf263's blog
多数の組織がランサムウエアに感染したサプライチェーン攻撃についてまとめてみた - piyolog
マイクロソフト、1月25日に発生した大規模障害の原因を説明
【サイバーセキュリティ】SOCによる24時間365日監視は本当に必要なのか再考してみる - Qiita
Raspberry Pi Pico W日本販売開始！ついに遊べるぞー！ - あっきぃ日誌
WindowsのファイアウォールをPowerShellから制御する
DAZNが今年も料金値上げを発表 月額プランは3700円→4200円に :
ノーリツ製の給湯器リモコンをPCからNode.jsで操作する（ECHONET Lite）
AWS re:Invent 2020で発表された新サービス/アップデートまとめ - Qiita
Next.jsで簡単なCRUDアプリを作りながら気になったセキュリティ: Railsの視点から
警察庁の情報流出が新たに判明、富士通「ProjectWEB」不正アクセス問題
AWS、IPv4アドレスへの課金が今月からスタート。1カ月約500円
自宅に捜査員が…家のルーターが知らぬ間にサイバー攻撃発信元に | 毎日新聞
3 台の Raspberry Pi で始める自宅 Kubernetes クラスタの構築 - Qiita
pixivというシステムはどんな形をしているのか、それはなぜか。 - pixiv inside