駆け出しデザイナー・エンジニアにこそ見ていただきたいWordPressの脆弱性とセキュリティ - Qiita
WordPressは世界で1番使用されているCMSかつオープンソースであるが故に、悪意のある第三者やプログラムから世界で1番攻撃されやすいCMSと言われています。 私自身も何度か攻撃を受けていて、実害に及ばなかったものから及んだものまで様々でした。クライアントの稼働しているWEBサイトに実害があった場合は、原因究明や報告、一次対応から恒久的対策までを行い、安全性を確保した上で再度稼働させる必要があり、その作業は簡単なものではありません。 被害があるのはクライアントだけではなく、そのサイトにアクセスしたユーザーに及びます。たとえ納品後の保守契約を結んでいなかったとしても、実装者の責任としてクライアント、ユーザーに安心して利用できるWEBサイトを目指さなければいけません。 私はセキュリティの専門家ではないもののWordPressを10年以上触っている中で様々な問題に当たり、対応してきました。そ
Emotetに新たな攻撃手段 添付されたショートカットファイルに注意
JPCERT/CCは4月26日、マルウェア「Emotet」に感染するメールの添付ファイルに、新たにショートカットファイルを使ったものが見つかったと発表した。ファイルを実行すると不正なスクリプトが実行され、Emotetに感染する。 Emotetは主にメールの添付ファイルを媒介として感染を広げるマルウェア。これまではメールに添付されたドキュメントファイルのマクロ（スクリプト）などを標的に実行させ、Emotetに感染させるという手法が観測されていた。 添付ドキュメントを安易に開かない、ドキュメント内のマクロを実行しないといった従来の対策に加え、ショートカットファイル（拡張子が「.lnk」）にも注意が必要になる。 JPCERT/CCは22日に、Emotetの感染有無を確認するツール「EmoCheck」をアップデート。新たに検知手法を追加した。 関連記事 猛威振るう「Emotet」の感染確認ツールが
猛威振るう「Emotet」の感染確認ツールがアップデート 検知手法を追加
EmoCheckは調べたい端末上でファイルを実行するだけで感染の有無を調べられるツール。GitHubの配布ページからダウンロードできる。使い方は過去記事を参照のこと。 関連記事 Emotetが再流行 感染していないか「EmoCheck」で確認しよう マルウェア「Emotet」が再流行している。Emotetに感染していないか不安な人は、JPCERT/CCが公開しているツール「EmoCheck」で感染の有無を確認しよう。 1～3月のEmotet相談件数は計656件 前四半期から約54.7倍と“爆増” IPAが報告 情報処理推進機構（IPA）は、1月から3月までにマルウェア「Emotet」に関する相談が656件あったと明かした。10月から12月までの前四半期の相談件数は12件であり、そこから約54.7倍増加したという。 Emotet活動再開 日本も標的に LACが注意喚起 今年1月に制圧されたマ
IPAが「サイバーセキュリティ経営ガイドライン Ver 2.0実践のためのプラクティス集 第3版」を発行
情報処理推進機構（IPA）は2022年3月30日、「サイバーセキュリティ経営ガイドライン Ver 2.0実践のためのプラクティス集 第3版」を発行した。IPAのWebサイトでダウンロードできる。 同プラクティス集は、2017年11月に経済産業省とIPAが発行した「サイバーセキュリティ経営ガイドライン Ver 2.0」（以下、経営ガイドライン）の「重要10項目」の実践に必要な事例を集めたもの。重要10項目を実践する際に参考となる考え方やヒント、実施手順、実践事例を記載している。 「セキュリティ担当者の悩み」に注目したアプローチも記載 第3版は「2020年度サイバーセキュリティ経営ガイドライン実践のためのプラクティスの在り方に関する調査」の結果を踏まえて改訂されている。特に第2章と第3章の内容を充実させており、IPAは「サイバー攻撃の対策強化にも役立つ」としている。 第2章には、経営ガイドライ
Chromeブラウザに緊急セキュリティ更新 悪用されたゼロデイ脆弱性を修正
米Googleは3月25日（現地時間）、Windows、Mac、Linux版のChromeブラウザの緊急アップデート「99.0.4844.84」をリリースしたと発表した。実際に悪用された重要度「High」のゼロデイ脆弱性1件に対処する。 「向こう数日～数週間で展開される」としているが、［ヘルプ］→［Google Chromeについて］で手動でアップデートすることをお勧めする。 Googleはこの「CVE-2022-1096」を、匿名のセキュリティ研究者によって23日に報告されたV8 JavaScriptエンジンの脆弱性としており、「エクスプロイトが実際に存在することを認識している」という。 詳細についてのリンクへのアクセスは本稿執筆現在制限されている。ユーザーの大部分がアップデートを完了するまでは制限する可能性がある。 なお、米MicrosoftもChromeベースのブラウザEdgeの緊急
Google、マルウェアと判明した9本のアプリを公式ストアから削除
ロシアのセキュリティ企業Doctor Webは7月1日（現地時間）、米Googleの公式Androidアプリストア「Google Playストア」で公開されている9本のアプリがマルウェアだと指摘し、Googleは3日までにこれらのアプリをストアから削除した。 Doctor Webは、これらのアプリがFacebookユーザーのパスワードを盗むトロイの木馬になっており、合わせて585万回以上インストールされたとしている。 指摘されたアプリは以下の9本。日本で公開されていたものもある。 PIP Photo Processing Photo Rubbish Cleaner Inwell Fitness Horoscope Daily App Lock Keep Lockit Master Horoscope Pi App Lock Manager Doctor Webによると、これらのアプリはFa
ZeroSSL ならIPアドレスのサーバ証明書が取得できる - ASnoKaze blog
IPアドレスのサーバ証明書が欲しい場合があります。そうすれば、ドメインを取得せずともサーバとHTTPS通信ができるようになります。 その他にも例えばDNS over HTTPSではIPアドレスでアクセス出来るように、有効な証明書がセットされていたりします。 https://1.1.1.1 https://8.8.8.8 しかし、Let's Encryptでは、IPアドレスのサーバ証明書は取得できません ~$ sudo certbot certonly --nginx -d 160.16.124.39 Requested name 160.16.124.39 is an IP address. The Let's Encrypt certificateauthority will not issue certificates for a bare IP address.ZeroSSLでは出来
ぼく「何度も聞かれるのでZOOMの”安全な設定"まとめ教えます」【待機室,2要素認証など】 - Qiita
関連記事 ■急にZOOMを使うことになったあなたへ送るZOOMの基本的な使い方マニュアル →使い方わからない人には「これ見ろ！」と言って渡してください。そういうのなかったので作りました。 結論 ・ランダムパスワード生成 ・URLにパスワードを埋め込まない ・待機室を有効にする ・２要素認証(２ステップ検証)設定する（管理者権限必要） ・参加者へのZOOMアカウントログイン強制 ※設定画面はブラウザからを前提にしています。 ほんとは調べてほしい かえるくん「なぁ，会社でZOOM使い始めてんけど，なんかいろいろまずいらしいな」 ぼく「あー，ね。」 かえる「なんかGoogle検索でURLヒットするらしいな」 ぼく「まぁ，ね。」 かえる「色々調べたけど，SkypeとかTeamsの方がええらしいな」 ぼく「うーん...」(こいつ調べてないやん) かえる「でも切り替え面倒やしZOOMの方がみんな使っと
暗号技術の知識をクイズに答えながら学んでいけるゲーミファイドプラットフォーム「CRYPTOHACK」
CRYPTOHACK https://cryptohack.org/ CRYPTOHACKの特徴 コンピュータセキュリティに欠かせない暗号技術ですが、数学的な要素や難易度から一般的なエンジニアでさえ理解しづらい分野の一つです。そんな暗号技術をゲームしながら学べるプラットフォームとして提供を始めたのが「CRYPTOHACK」です。 クイズに答える中で、RSA、ブロック暗号、ECCなどの技術を学べることができる、いわば「暗号技術のHackTheBox（サイバーセキュリティトレーニングのプラットフォーム）」になります。 CRYPTOHACKに登録する（のも大変だった・・・） アカウント登録からすでにゲームは始まっており、暗号技術に関する質問をクリアしない限り登録できない憎い設計になっています。 今回は、シーザー暗号化された単語をデコードして、4つの単語を入れることで晴れてアカウント登録が成功しま
iPhoneに突然表示される不審なカレンダー通知に注意！ - 安心相談窓口だより：IPA 独立行政法人 情報処理推進機構
ここでは、手口および対処、被害にあわないための対策について解説します。 なお、以下に掲載するiPhoneの画面は、相談内容等をもとにIPAが再現したものであり、実際の手口の画面とは異なる場合があります。 (脚注1) 本件に関するこれまでの相談件数 2016年：1件 2017年：0件 2018年：2件 2019年：0件 2020年：227件 2021年：79件（3月末時点） 1．手口の概要 iPhoneのカレンダーに身に覚えのないイベントが入ってしまうパターンには以下の2通りがあります。 (1)アカウント追加型（悪者の仕掛けたワナにハマってしまうケース） (2)イベント・カレンダー共有型（悪者から一方的に送られるケース） (1)アカウント追加型（悪者の仕掛けたワナにハマってしまうケース）の手口（2020年8月追加内容） サイト(脚注2)に表示される画面の「照会」などをタップしてしまう（図4）
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
三井住友銀行を装うフィッシングメール、件名は「【三井住友銀行】から重要なお知らせ」 個人情報の再確認のためとして口座情報などを詐取
【特集】 Windows 11で必須になった「TPM 2.0」って何？TPMの役割や確認方法を紹介
3,000万台のデル製PCのBIOS機能に脆弱性。更新または機能無効化を推奨
数億台のデル製PCに特権昇格の脆弱性。パッチインストール必須
OAuth対応じゃないとメールの送受信ができなくなるかも？ 年末年始はメールアプリを見直そう／Microsoft/Googleがメールサービスの基本認証を廃止へ【やじうまの杜】
被害サイト1000サイト以上！ 規模の大きさも理由も謎だらけ…史上最大の「偽サイト」事件 三上洋氏に聞く｜まいどなニュース
VPNなしで安全に社内Webアプリを利用できるGoogleのクラウド機能
Windowsセキュリティが機能停止する不具合
Zoomのアカウント情報を流出させないためのセキュリティ設定 | ライフハッカー・ジャパン
問題が相次いで発覚した「Zoom」でヴィデオ会議を開く際に、まずユーザーが考えるべきこと