財布を落としたけど紛失防止トラッカー『Eufy Security SmartTrack Card』を入れてたので回収できた話（お金は盗まれた） | デジタルマガジン
久々のブログ更新です。財布を落としたけど紛失防止トラッカーの『Eufy Security SmartTrack Card』を入れてたので、その後、財布を回収できたという話です。しかし、もう『Eufy Security SmartTrack Card』単体では使わないと思うので理由も解説します。 約10分の間に財布を落として盗まれる 今日はお昼ご飯を食べに外出しました。そこでPayPayで支払ってレシートを財布に入れました。その後、お肉屋さんに移動してお肉を買って、こちらもPayPayで支払いレシートを財布に入れようとした時に、肝心の財布がないことに気づきました。 つまりご飯屋さんからお肉屋さんまでの道のりのあいだで、財布を落としています。お肉の受け取り時間を考えると、その間、10分ほどです。 移動は車だったので、落としたのはご飯屋さんの駐車場かお肉屋さんの前だと思われます。 財布がないこと
Microsoft社の、生成AIを活用したオンラインセキュリティを強化するサービス、「Copilot for Security」が話題になっています。 専用のポータルなどからチャット形式で質問を投げかけると、専用のプラグイン経由でMicrosoftの様々なセキュリティサービスの情報を取得して、回答してくれるサービスです。 実際にどのように活用できるのか、専門家でなくともセキュリティ業務ができるようになるのは本当なのか、といったポイントが気になる方は多いのではないでしょうか。ラックは、サービスのリリースに先立って、EAP（Early Access Program）期間中からCopilot for Securityを利用したので、実際の使い勝手をレポートします。 今回は、Microsoft社のセキュリティ情報イベント管理サービス（Security Information and Event M
「Akamai World Tour 2023」はAkamai社が主催する年次最大のユーザーイベントです。2023年9月に開催された本イベントでは、Akamai社が提供するセキュリティ、CDN、クラウドコンピューティングを切り口に、安全で可用性の高いアプリケーションの維持や構築・展開における課題について考察しました。パートナーセッションに登壇したのは、株式会社ラックの山根将司氏。Web APIの提供するメリットと、セキュリティリスクの対策について発表しました。 登壇者の自己紹介とアジェンダの紹介 山根将司氏：「Web APIの提供メリットと、抑えるべきセキュリティリスク」と題して、私、株式会社ラックの山根が発表いたします。お願いいたします。 今回のアジェンダです。まずは、「Web APIって何？」という方向けに、Web APIの概要とその普及の背景を説明していきたいと思います。その次に、W
【セキュリティ ニュース】Phoenix製「UEFI」に脆弱性 - TPM保護を回避されるおそれ（1ページ目 / 全2ページ）：Security NEXT
パソコンやサーバにおいて起動制御に用いられるPhoenix Technologies製のファームウェア「UEFI（Unified Extensible Firmware Interface）」に脆弱性が明らかとなった。 「CVE-2024-0762」は、「TPM（Trusted Platform Module）」を構成する変数処理のコードに明らかとなった脆弱性で、バッファオーバーフローが生じるおそれがある。脆弱性を発見、報告したEclypsiumは、「UEFIcanhazbufferoverflow」と名付けている。 Eclypsiumによれば、当初Lenovoの一部機種において脆弱性を発見したが、その後、特定のIntelプロセッサファミリにおいて実行される「Phoenix SecureCore UEFIファームウェア」に影響があることが判明したという。 具体的には「AlderLake」「
【セキュリティ ニュース】「Cisco IOS XE」の脆弱性、アップデートを追加（1ページ目 / 全1ページ）：Security NEXT
Cisco Systemsは、「Cisco IOS XE」にゼロデイ脆弱性が明らかとなった問題で、「同17.6」向けのアップデートをリリースした。 「Cisco IOS XE」のウェブユーザーインタフェースに「CVE-2023-20198」「CVE-2023-20273」が判明。同社ではアップデートの提供を順次開始しているが、現地時間10月22日に公開した「同17.9.4a」に続き、「同17.6.6a」の提供を現地時間10月27日に開始したもの。 「同17.6.5」向けに「ソフトウェアメインテナンスアップグレード（SMU）」もあわせて提供している。「同17.3.8a」「同16.12.10a」の提供時期については未定となっており、同社ではリリースに向けて準備を進めている。 これら脆弱性に関しては、少なくとも9月中旬ごろより悪用されていることが判明しており、数万台規模で被害が発生しているとの報
OpenSSHの脆弱性(regreSSHion: CVE-2024-6387)と9.8リリース - SIOS SECURITY BLOG
07/01/2024にOpenSSHの脆弱性(regreSSHion: CVE-2024-6387)が公開され、OpenSSH 9.8がリリースされました。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について纏めます。 [過去関連リンク(最新5件)]【悪用に条件あり】OpenSSH(ssh-agent)のリモートコード実行の脆弱性(Important: CVE-2023-38408)とOpenSSH 9.3p2OpenSSHの脆弱性(CVE-2023-28531)と新バージョン(OpenSSH 9.3)OpenSSHの脆弱性(CVE-2023-25136)OpenSSHのssh-agentの脆弱性情報(CVE-2021-28041)と新バージョン(OpenSSH 8.5)のリリースOpenSSHの脆弱性情報(Important: CVE-2021-41617)と、OpenS
【Security Hub修復手順】[APIGateway.1] API Gateway REST と WebSocket API 実行のログ記録を有効にする必要があります | DevelopersIO
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？ 当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介します。 本記事の対象コントロール [APIGateway.1] API Gateway REST と WebSocket API 実行のログ記録を有効にする必要があります [APIGateway.1] API Gateway REST and WebSocket API execution logging should be enabled 前提条件 本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容です。 AWS Security Hubの詳細についてはこちらのブログをご覧ください。 コントロールの説明 このコン
![【Security Hub修復手順】[APIGateway.1] API Gateway REST と WebSocket API 実行のログ記録を有効にする必要があります | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/b5eb18f96ede2cf98d82eb160ccfa87db6695ef1/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2023%2F08%2Faws-security-hub.png)
【セキュリティ ニュース】複数メールサービスプロバイダに送信ドメイン認証回避の脆弱性（1ページ目 / 全2ページ）：Security NEXT
複数のメール送信サービスにおいて、送信ドメイン認証技術を回避し、「なりすましメール」の送信が可能となる脆弱性が研究者によって報告された。 複数ドメインやテナントをホストするメール送信サービスの多くで、送信ドメイン認証技術である「SPF（Sender Policy Framework）」や「DKIM（Domain Key Identified Mail）」による検証や認証の信頼性を低下させる脆弱性が報告されたもの。 メール送信にホスティングプロバイダを利用することで、認証されたユーザーや信頼されたネットワークからの送信者として別の送信元を偽って「なりすましメール」を送信できるとし、CERT/CCがセキュリティアドバイザリを公開している。 共有のホスティング環境を提供しているメールサービスの多くは、メール送信前にユーザー認証を行うものの、ドメインとの関係を照合しておらず、共有インフラ上にある別
GitHub - Ostorlab/oxo: OXO is a security scanning orchestrator for the modern age.
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
【セキュリティ ニュース】WordPress向け複数プラグインにバックドア - 侵害状況の確認を（1ページ目 / 全1ページ）：Security NEXT
WordPress.orgのプラグインディレクトリで公開されていた複数のプラグインにバックドアが挿入されていたことがわかった。対象となるプラグインを利用していた場合は利用を一時中止し、侵害を受けていないか確認するよう注意が呼びかけられている。 DefiantのWordfenceが明らかにしたもの。複数のプラグインがソースコードを改ざんされ、悪意あるPHPスクリプトが挿入されていることを確認したという。 悪意あるコードの存在が確認されたプラグインは、「BLAZE Retail Widget」「Contact Form 7 Multi-Step Addon」「Simply Show Hooks」「Social Sharing Plugin – Social Warfare」「Wrapper Link Elementor」の5製品。 侵害されたプラグインを利用すると、バックドアによってデータベー
【セキュリティ ニュース】「改訂新版セキュリティエンジニアの教科書」が発売 - 日本シーサート協議会（1ページ目 / 全1ページ）：Security NEXT
日本シーサート協議会が執筆したセキュリティエンジニアを目指す人などを対象とする書籍「改訂新版セキュリティエンジニアの教科書」が発売された。 同書は、セキュリティエンジニアを目指す学生や、人事異動などであらたにセキュリティ部署へ異動し、セキュリティに関する知識をあまり持たない社会人などを想定した書籍。同協議会のシーサート人材ワーキンググループが執筆を担当した。 セキュリティエンジニアが身につけておきたい基礎的な知識やセキュリティ分野のキャリアについて、現職のセキュリティエンジニアが解説。 セキュア開発や脆弱性対応、インシデント対応、セキュリティマネジメントなどのトピックも扱っている。 出版社はシーアンドアール研究所でA5判208ページ。価格は2882円（税込）。ISBNは「978-4863544376」。 （Security NEXT - 2024/05/02 ） ツイート
Barracuda 製 Email Security Gateway Appliance (ESG) の脆弱性について(CVE-2023-7102)(CVE-2023-7101) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
トップページ 情報セキュリティ 重要なセキュリティ情報 2023年度 Barracuda 製 Email Security Gateway Appliance (ESG) の脆弱性について(CVE-2023-7102)(CVE-2023-7101) Barracuda 製 Email Security Gateway Appliance (ESG) の脆弱性について(CVE-2023-7102)(CVE-2023-7101) 注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。 概要 バラクーダネットワークスが提供する「Email Security Gateway Appliance (ESG)」は、セキュリティ対策製品です。 この製品において、任意のコード実行の脆弱性が確認されています。 本脆弱性が悪用された場合、遠隔の認証されていない第三者により、任意のコードを実
5/16/2024 @ RubyKaigi 2024 https://rubykaigi.org/2024/ ---- (description from timetable) "Actual" Internet of Things with Ruby is here! Contin…
GoogleがAndroidアプリの脆弱性を報告した開発者に報奨金を支払う「Google Play Security Reward Program」を2024年8月31日で終了することを発表
Googleは2017年10月から、Androidアプリの脆弱(ぜいじゃく)性を特定して報告したセキュリティ研究者に対して報奨金を支払う「Google Play Security Reward Program(GPSRP)」と呼ばれるプログラムを実施していました。しかしGoogleは2024年8月31日をもってGPSRPを終了することを開発者らに伝えています。 Google Play Security Reward Program Rules - Rules - About - Google Bug Hunters https://bughunters.google.com/about/rules/android-friends/5604090422493184/google-play-security-reward-program-rules Google Play will no lo
【Security Hub修復手順】[IAM.3] IAM ユーザーのアクセスキーは 90 日以内にローテーションする必要があります | DevelopersIO
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？ 当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介します。 本記事の対象コントロール [IAM.3] IAM ユーザーのアクセスキーは 90 日以内にローテーションする必要があります [IAM.3] IAM users' access keys should be rotated every 90 days or less 前提条件 本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容です。 AWS Security Hubの詳細についてはこちらのブログをご覧ください。 コントロールの説明 このコントロールは、IAMユーザーのアクティブなアクセスキーが90日以内に適切
【セキュリティ ニュース】「mixi」にPWリスト攻撃 - 2月から3月にかけて発生（1ページ目 / 全1ページ）：Security NEXT
MIXIは、同社が運営するソーシャルネットワーキングサービス「mixi」が2月から3月にかけてパスワードリスト攻撃を受けたことを明らかにした。複数サービスでパスワードを使いまわしている場合は、すぐに変更するよう呼びかけている。 同社によれば、2月15日から3月16日にかけて、第三者が利用者本人になりすましてログインする不正アクセスが行われたという。 原因は、同社以外から入手したメールアドレスとパスワードを使用し、ログインを試みるパスワードリスト攻撃であるとの見方を示した。 不正ログインされた場合、サービスへ登録している氏名、性別、生年月日、メールアドレスなどの個人情報を第三者に閲覧された可能性がある。 同社では、対象アカウントを一時停止したり、パスワードリセットを行うなど対策を実施。対象アカウントのユーザーにメールで通知した。複数サービスで同じメールアドレスとパスワードを使いまわしている場
Microsoft briefly restricted employee access to OpenAI's ChatGPT, citing security concerns
Microsoft has invested billions of dollars in OpenAI. But for a brief time on Thursday, employees of the software company weren't allowed to use the startup's most famous product, ChatGPT, CNBC has learned. "Due to security and data concerns a number of AI tools are no longer available for employees to use," Microsoft said in an update on an internal website. CNBC also viewed a screenshot that sho
Digital Defense - The ultimate personal security checklist to secure your digital life
The Ultimate Personal Security ChecklistYour guide to securing your digital life and protecting your privacy View on GitHub CloseNo stats yet You'll see your progress here, once you start ticking items off the checklists Get started, by selecting a checklist below
ゼロから学ぶCSP（Content Security Policy）入門 | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
Technology部ののっぴーです。 ブラウザにはセキュリティに関する様々な仕組みがあり、その一つとしてXSSのリスク軽減を目的としたセキュリティレイヤーとしてCSP（Content Security Policy）があります。昨今ではCSPが脆弱性診断の対象となることもあり、適切な設定を求められている事業者もいらっしゃるかと思います。 ※XSS：クロスサイトスクリプティングの略語。サイトの脆弱性を利用して悪質なスクリプトを埋め込み、ユーザーの個人情報を抜き取ったり、マルウェア感染を図ったりすること そこで今回は、CSPの目的や設定方法など、基礎から丁寧に解説していきます。ご参考になれば幸いです。 1分で学ぶCSPの概要 まずは最低限押さえておきたい概要に絞って、CSPの基礎をご紹介します。 CSP（Content Security Policy）とは ブラウザ上でのコンテンツ読み込みを
Uncovering potential threats to your web application by leveraging security reports
The latest news and insights from Google on security and safety on the Internet
【セキュリティ ニュース】ルータ向けLinux「Zeroshell」 - 開発終了しており使用中止を（1ページ目 / 全1ページ）：Security NEXT
ルーターやファイアウォールなどの機能を提供するLinuxディストリビューション「ZeroShell」に脆弱性が指摘されていた問題で、すでにプロジェクトは終了しているとして、利用の中止が呼びかけられている。 同製品については、2020年にコマンドインジェクションの脆弱性「CVE-2020-29390」が明らかとなっていた。ウェブインタフェースにアクセスできる攻撃者によって認証なしに悪用されるおそれがあり、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と評価されている。 JPCERTコーディネーションセンターは、2月7日にJVNで同脆弱性に関する調整を行ってきたことを明らかにした。2020年8月にMYTコンサルティングの日留川紀彦氏による届け出を情報処理推進機構（IPA）が受理し、その後も対応が進められていた。 2023年11月に開発者と連絡が取れたが、開発者は「Zero
CIEM Part 1: How least privilege leads to a false sense of security
This is the start of a series about Cloud Identity Entitlement Management (CIEM). I will try to explain in depth what challenges you will face when trying to manage Identity and Access Management (IAM) in AWS. The first part is about least privilege. Least privilege plays a crucial role in today's cloud security landscape. Each cloud provider often adopts its own opinionated view on this principle
AWS Security Hub のInspectorコントロールにおけるマルチアカウント環境の有無による検出結果の違いを確認してみた | DevelopersIO
AWS Security Hub のInspectorコントロールにおけるマルチアカウント環境の有無による検出結果の違いを確認してみた はじめに 本記事では、AWS Security Hub の Inspector コントロールにおける、マルチアカウント環境とスタンドアローン環境での検出結果の違いを検証しました。 Security Hub のコントロールのうち、Amazon Inspector に関連するものでは、以下の機能が有効化されているかをチェックします（執筆時点）。 Amazon EC2 スキャン コントロールID：Inspector.1 Amazon ECR スキャン コントロールID：Inspector.2 AWS Lambda コードスキャン コントロールID：Inspector.3 AWS Lambda 標準スキャン コントロールID：Inspector.4 マルチアカウン
【セキュリティ ニュース】Linuxカーネルに判明した権限昇格の脆弱性 - 詳細やPoCが公開（1ページ目 / 全1ページ）：Security NEXT
Linuxカーネルにおいてパケットのフィルタリング機能を提供するコンポーネントに脆弱性が判明した問題で、脆弱性の詳細や実証コードが公開された。 コンポーネント「nf_tables」に解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2024-1086」に判明したもの。 ローカル環境において脆弱性を悪用すると権限の昇格が可能で、root権限を取得することが可能となる。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.8」、重要度は「高（High）」とレーティングされている。 米国立標準技術研究所（NIST）による脆弱性データベース「NVD」には、1月31日に登録されており、「JVN iPedia」にも2月7日に収録されているが、3月末に脆弱性を報告した研究者が詳細や実証コード（PoC）について公開した。 公開された実証コードは「バージョン5.14
LAC Security Insight 第9号 2024 夏 続・SSL-VPN機器を狙った攻撃 | LAC WATCH
本レポートは、ラックの中でもサイバー攻撃の脅威に対して最前線で対応しているJSOCおよびサイバー救急センター、そして攻撃者が利用するサイバー攻撃手法も採り入れてお客様のシステムへ侵入テストを行うデジタルペンテスト部において、分析・調査・侵入テストを実施する中で得た最近の脅威の傾向や特徴を、セキュリティ専門家が「洞察」としてまとめたものです。 日々発生している実際の攻撃やインシデントに根ざしており、また日本の企業や団体を狙った脅威を中心にまとめているため、日本の企業や団体のサイバーセキュリティ担当者が、自組織が直面しているサイバー攻撃や脅威を把握できる内容です。 サイバー119で出動したインシデント傾向 サイバー119の出動傾向：2024年4月～6月 当該期間では、マルウェア関連による被害の相談が37%、およびサーバ不正侵入による被害の相談が31%であり、両者で全体の68%を占めています。
高まる懸念：Windows Recallから全データを抽出できるツールを、研究者がリリース | Codebook｜Security News
WIRED – JUN 4, 2024 マイクロソフトが最近発表したWindowsの新AI機能、「Recall」。プライバシーやセキュリティに関する懸念からセキュリティ業界では否定的な意見が多数聞かれており、「マイクロソフトはRecallをリコールすべき」という見解を示す研究者もいる。そんな中、「Recall機能からデータを抽出し、表示させる」ことのできるツールがリリースされたことで、同機能が抱えるリスクがますます浮き彫りになった。 Recall機能の概要Recall機能は、ユーザーが操作する画面を5秒ごとに撮影し、そのスクリーンショットをローカルに保存してAIで分析・抽出し、検索可能な状態にするというもの。ユーザーはこれらのデータを利用することで、過去に自らが行った操作や閲覧したコンテンツなどを「思い出す」ことができる。ユースケースを考えてみると、例えば、ある料理サイトでレシピを調べると
Microsoftは2024年3月13日（現地時間、以下同）、同年4月1日に生成AI（人工知能）ソリューション「Microsoft Copilot for Security」（以下、Copilot for Security）の一般提供を全世界で開始すると発表した。 Copilot for Securityが提供する機能と利用者のフィードバック サイバー攻撃の脅威はますます深刻度を増しているが、これに対応するセキュリティ人材は慢性的に不足している。生成AIの活用によるセキュリティ運用業務などの支援はこの状況を改善する大きな原動力になると期待されている。 Copilot for Securityの一般提供に合わせて以下の新機能の導入が予定されている。 カスタムプロンプトブックを使用することで一般的なセキュリティワークストリームとタスクに対して独自の自然言語プロンプトの作成および保存を提供する
UN General Assembly presses Security Council to give ‘favourable consideration’ to full Palestinian membership
UN General Assembly presses Security Council to give ‘favourable consideration’ to full Palestinian membership The UN General Assembly convened again in New York on Friday for an emergency special session on the Gaza crisis and overwhelmingly passed a resolution which upgrades Palestine’s rights at the world body as an Observer State, without offering full membership. It urged the Security Council
2024/10/10公開ファイルに児童情報、ファイルにデータ残存 - 伊勢原市 2024/10/10児童の氏名が記載された時間割表を紛失 - 高槻市の小学校 2024/10/09団体名簿を誤送信、メアド入力ミスで - 川崎市社会福祉協議会 2024/10/08水道メーター工事名簿が一時所在不明に - 高齢者が持ち帰る 2024/10/0857年分の卒業証書授与台帳を紛失 - 都立特別支援学校 2024/10/07印鑑登録申請書などを紛失、原票や本人確認書類なども - 府中町 2024/10/04制度登録企業宛のメールで誤送信、メアド約1500件が流出 - 新潟県 2024/10/04統計調査員が個人情報含む調査関係書類を紛失 - 大阪府 2024/10/04決済アプリ改ざん、顧客情報9万件が流出か - タリーズ通販サイト 2024/10/03個人情報含むタブレット端末が車両ごと盗難 - 稲
Spring Bootと行レベルセキュリティではじめるマルチテナントアーキテクチャ / Multi-tenant architecture using Row-Level Security
複数のテナント間でデータベースを共有するマルチテナントアーキテクチャ。構築・運用のコストに優れる一方で、アプリケーション側の不具合によって他のテナントのデータが見れてしまう、という重大なインシデントを起こしかねません。 マルチテナントアーキテクチャを採用する際に、どうやってセキュリティと開発者体験…
【セキュリティ ニュース】5月のMS月例パッチが公開 - 複数のゼロデイ脆弱性を修正（1ページ目 / 全4ページ）：Security NEXT
マイクロソフトは現地時間5月14日、5月の月例セキュリティ更新プログラムを公開した。61件の脆弱性を修正しており、2件の脆弱性いついてはすでに悪用が確認されているという。 今回のアップデートでは、「Windows」や「Office」をはじめ、「Azure」「Power BI」「Microsoft Intune」「Microsoft Dynamics 365」「.NET Core」「Visual Studio」などに明らかとなった脆弱性に対処した。 CVEベースで61件の脆弱性を修正しており、最大重要度を見ると、4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は、「Microsoft SharePoint Server」に判明した「CVE-2024-30044」の1件。 サイト所有者の権限を持つ場合、「SharePoint Server」の権限で任意のコードを実行するこ
【セキュリティ ニュース】日本のDMARC導入率13％、米豪と大きな差 - NRIセキュア調査（1ページ目 / 全2ページ）：Security NEXT
NRIセキュアテクノロジーズは、日本企業約1600社をはじめ、米国やオーストラリアの企業を対象にセキュリティ対策の実態調査を実施し、結果を取りまとめた。「DMARC」の導入状況など大きな差が見られた。 同社が2023年8月から9月にかけて2783社を対象にセキュリティに関する実態調査を実施したもの。日本の1657社、米国の540社、オーストラリアの586社が回答した。 送信ドメイン認証技術である「DMARC」について、米国は81.8％、オーストラリアは89.4％の企業が、「reject（拒否）」「quarantine（隔離）」「none（何もしない）」のいずれかで「実施済み」であると答えた。日本では13.0％と2割に満たない。 ルールを「reject」あるいは「quarantine」としている企業に絞ると、やや減少して米国では71.8％、オーストラリアは72.5％となるが、それでも7割を超
集英社のクリエイティビティを守るため、Microsoft 365 E5 とMicrosoft Copilot for Security で、ゼロトラストセキュリティ ＋ AIを活用した最新のセキュリティ環境を実現
Microsoft customer stories See how Microsoft tools help companies run their business.
本レポートでは、2024年4月中に発生した観測情報と事案についてまとめています。 目次 DDoS攻撃の観測情報 IIJマネージドセキュリティサービスの観測情報 Web/メールのマルウェア脅威の観測情報 セキュリティインシデントカレンダー DDoS攻撃の観測情報 本項では、IIJマネージドセキュリティサービスやバックボーンなどでIIJが対処したDDoS攻撃のうち、IIJ DDoSプロテクションサービスで検出した当月中の攻撃を取りまとめました。 攻撃の検出件数 以下に今回の対象期間で検出した、DDoS攻撃の検出件数を示します。 図-1 DDoS攻撃の検出件数（2024年4月） 今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は239件であり、1日あたりの平均件数は7.97件でした。期間中に観測された最も規模の大きな攻撃では、最大で約526万ppsのパケットによって54.90Gbpsの通信が
Postman is an extremely popular application for developers testing remote web APIs. It lets you craft HTTP requests, interact with their responses, and go through the history of what you’ve sent and received. Many of these HTTP requests are authenticated, meaning that the application deals with API keys, login tokens, credentials, etc. In May, Postman pivoted to be a cloud-only product for many of
Developer Productivity室の @uncle__ko です。 サイバー攻撃のニュースなどが盛り上がり、セキュリティについて取り沙汰されることが多い昨今。 開発生産性においてもセキュリティ対策はとても重要です。 今回は開発生産性とSecurity Shift Leftについてまとめようかと思います。 DORAの定義するCapabilitiesにおけるSecurityFourkeysなどを提唱しているDORA（DevOps Research and Assessment）が、組織がソフトウェアの提供と組織のパフォーマンスの向上を促進するためにもつべきものを定義していたりします DORA | CapabilitiesDORA is a long running research program that seeks to understand the capabilities
TL;DR We released a critical security advisory today for Sentry’s Next.js SDK. In the SDK versions 7.26.0-7.76.0 (inclusive), when the tunnelRoute option is enabled, this vulnerability allows malicious actors to forge requests and responses from your Next.js application (this is commonly understood as Server-side Request Forgery - SSRF). We have no evidence that this vulnerability was exploited. W
BlackHat USA 2024 / BSides Las Vegas / DEF CON 32 に会社の海外研修制度を利用して参加しました！ - Flatt Security Blog
はじめに Flatt Security セキュリティエンジニアの Tsubasa、lambdasawa、Osaki です。本ブログでは、2024年8月に開催された Bsides Las Vegas、Black Hat USA 2024、DEF CON 32 に弊社メンバーが参加した際の記録、および、特に興味深かったセッションの詳細についてお伝えします！ なお、本稿の作成にあたっては各セッションの発表内容について可能な限り誤りがないように注意を払って記述しましたが、誤りを含む可能性があります。また、各セッションの内容については、筆者独自の考えや解釈を含む場合があります。本稿を通して気になったセッションがあった方は、ぜひオリジナルの文献や発表のアーカイブにアクセスしていただければ幸いです。 はじめに Flatt Security の研修制度 Bsides Las Vegas Bsides La
【セキュリティ ニュース】「FreeBSD」に重要度「クリティカル」とされる複数の脆弱性（1ページ目 / 全1ページ）：Security NEXT
FreeBSDの開発チームは、ハイパーバイザの関連モジュールやIPCフレームワークで利用するライブラリにおいて脆弱性が明らかになったとしてパッチをリリースした。 仮想マシン内でゲストオペレーティングシステムを実行するハイパーバイザ「bhyve」では、脆弱性「CVE-2024-41721」が判明した。 仮想USBコントローラ（XHCI）上のデバイスをエミュレートできるモジュールにおいて域外メモリへの書き込みが可能。脆弱性を悪用されると、ゲストVMよりハイパーバイザのプロセスをクラッシュさせたり、リモートよりホスト上でコードを実行されるおそれがある。 またプロセス間通信（IPC）で利用されているライブラリ「libnv（nvlist）」において、必要サイズよりも小さなバッファが割り当てられ、整数オーバーフローが発生する脆弱性「CVE-2024-45287」が明らかとなった。 米サイバーセキュリテ
Microsoft Incident Response lessons on preventing cloud identity compromise | Microsoft Security Blog
Microsoft observed a surge in cyberattacks targeting identities in 2023, with attempted password-based attacks increasing by more than tenfold in the first quarter of 2023 compared to the same period in 2022. Threat actors leverage compromised identities to achieve a significant level of access to target networks. The compromise of an identity, under certain circumstances, could enable threat acto
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft Copilot for Securityでインシデント調査をしてみた | LAC WATCH
自社サービスのWeb API提供に潜むリスクとは 「OWASP API Security Top 10」から見る、脅威とその対策
Adding Security to Microcontroller Ruby
Copilot for Securityの一般提供が4月1日から開始 従量課金制でより利用しやすく
個人情報漏洩事件・事故関連記事の一覧（1ページ目 / 全516ページ）：Security NEXT
wizSafe Security Signal 2024年4月 観測レポート
Lee Holmes | Security Risks of Postman
開発生産性とSecurity Shift Left
Next.js SDK Security Advisory - CVE-2023-46729