S3経由でXSS!?不可思議なContent-Typeの値を利用する攻撃手法の新観点 - Flatt Security Blog
はじめに セキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。 本ブログは、2024 年 3 月 30 日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。 また、ブログ資料化にあたり、Content-Type の動作や仕様にフォーカスした形で再編を行い、登壇時に口頭で補足した内容の追記、必要に応じた補足を行なっています。 また、本ブログで解説をする BSides Tokyoでの発表のもう一つの題である、オブジェクトストレージについては、以下のブログから確認をすることが可能ですので、ご覧ください。 blog.flatt.tech なぜ今、この問題を取り上げるのか？ 従来のファイルアップロードにおいて、Content-Type の値を任意の値に設定すること
ついにブロックができるようになった！Amazon GuardDuty Malware Protection for Amazon S3が発表されました！ #AWSreInforce | DevelopersIO
ついにブロックができるようになった！Amazon GuardDuty Malware Protection for Amazon S3が発表されました！ #AWSreInforce Amazon GuardDutyで待望のマルウェアに対する保護機能がリリースされました！信頼できないオブジェクトをS3にアップロードする環境ならガンガン活用していきましょう！ こんにちは、臼田です。 みなさん、AWS上でのマルウェアチェックしてますか？(挨拶 AWS re:Inforce 2024で待望のS3に対するネイティブなマルウェア検出と保護の機能である「Amazon GuardDuty Malware Protection for Amazon S3」がリリースされました！ Detect malware in new object uploads to Amazon S3 with Amazon Gua
EC2のcronバッチを「EventBridgeをトリガーにStep Functionsを起動」に置き換えると、エラーハンドリングが快適になる
AWSのEC2で定期的なタスクを自動化するために、cronを使用しているケースも多いと思います。 しかし、Amazon Linux 2023ではcronがデフォルトで無効になっています。これはcron以外に、cronのようなバッチ実行・定期実行する仕組みがあるということなのかと思い、cronを使わずにE2上でバッチ実行・定期実行する仕組みを考えてみました。 そして、Amazon EventBridge、AWS Step Functions、およびAWS Systems Manager startAutomationExecutionを組み合わせて、EC2インスタンス上でバッチ・定期実行を試してみましたので、紹介します。 特に、Step Functionsを使用することで、エラーハンドリングや通知が容易になり、安全にバッチ実行できるようになります。 エラーハンドリングは以下の状態を把握したい
Amazon S3にマルウェアを発見したらアクセスをブロック「Malware Protection for Amazon S3」提供開始
Amazon S3にマルウェアを発見したらアクセスをブロック「Malware Protection for Amazon S3」提供開始 Amazon Web Services（AWS）は、Amazon S3に保存されているオブジェクトをAmazon GuardDutyでスキャンし、マルウェアを発見した場合にはそのオブジェクトへのアクセスをブロックできる新サービス「Malware Protection for Amazon S3 Amazon GuardDuty」の提供開始を発表しました。 AWSには以前から継続的に環境内をモニタリングしてマルウェアを検出するサービスであるGuardDutyが提供されています。 Malware Protection for Amazon S3 Amazon GuardDutyでは、このGuardDutyによってAmazon S3のオブジェクトをスキャンし、
SSM Inventory を使って便利に EC2 棚卸し（ハマりどころを添えて）
10分でわかる株式会社ログラス − エンジニア向け会社説明資料 / Loglass in 10 min for Engineers
S3 Glacier Deep Archiveのオブジェクト取り出しにかかる費用について | DevelopersIO
困っていた内容 S3 Glacier Deep Archiveのオブジェクト取り出しにかかる費用はどう試算すればいいですか？ どう対応すればいいの？ S3 Glacier Deep Archiveで保存したオブジェクトを取り出す際の料金は、データ取り出しリクエストの数 (1,000リクエスト単位)と取り出したオブジェクトのデータ量 (GB 単位)に基づいて課金されます。 （S3 Glacier Deep Archive に保存したデータを取り出すには、データ取り出しリクエストを行う必要があります。） 料金は以下のURLに記載されています。料金は、取り出すときに指定した「取得階層」オプションが「標準」か「大容量」かによって変わります。 料金 - Amazon S3 ｜AWS データ取り出しリクエスト (1,000 リクエストあたり) データ取り出し (GB あたり)
Spring BootによるAPIバックエンド構築実践ガイド 第2版 何千人もの開発者が、InfoQのミニブック「Practical Guide to Building an API Back End with Spring Boot」から、Spring Bootを使ったREST API構築の基礎を学んだ。この本では、出版時に新しくリリースされたバージョンである Spring Boot 2 を使用している。しかし、Spring Boot3が最近リリースされ、重要な変...
S3 Intelligent-Tieringに自動的に移行されるバケットを作成する [AWS CloudFormation テンプレート付き]
S3 Intelligent-Tieringに自動的に移行されるバケットのテンプレート 今回の設定では、Intelligent-Tieringに移行されるまでの期間を0日としています。これはアップロードされた瞬間ではなく、UTC 0時（JST 9時）に移行されることになります。 S3 ライフサイクル設定の例 – Amazon Simple Storage Service 通常版 バケットを作成するテンプレートは下記の通りです。S3 Intelligent-Tierへのライフサイクルルールのほかに、SSE-S3暗号化やパブリックアクセスの無効化などの設定を入れています。 AWSTemplateFormatVersion: "2010-09-09" Description: "S3 Intelligent Tier Template" Parameters: BucketName001: Ty
![S3 Intelligent-Tieringに自動的に移行されるバケットを作成する [AWS CloudFormation テンプレート付き]](https://cdn-ak-scissors.b.st-hatena.com/image/square/2b017e37ca57990b2e4b10996e0297920d5cbba1/height=288;version=1;width=512/https%3A%2F%2Fblog.usize-tech.com%2Fcontents%2Fuploads%2F2022%2F04%2Feyecatch-s3.png)
EKS(Kubernetes)を触っていると、EC2 で立てているノードの IP アドレス管理も気になってきます。 1 つのノードで、どのくらいの pod を動かすのか、主に CPU やメモリなどのリソース中心で考えてしまいますが、割り振れる IP アドレスの数も重要ですよね。 ということで、EC2 のインスタンスタイプごとに、以下の情報を調べてみました。 ・最大の ENI の数 ・1 つの ENI ごとの IP アドレスの数 ENI(ネットワークインタフェース) ENI の情報は awc cli を使えばすぐにわかります。 You can use the describe-instance-types AWS CLI command to display information about an instance type, such as its supported network i
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Amazon S3不正リクエスト課金問題：空のS3バケットがコストを劇的に増加させる可能性
【AWS】EC2インスタンスタイプごとの最大のENIやIPアドレスの数｜サラトガ牧場