セキュリティツールの評価は難しい - knqyf263's blog
前から思ってたことをちょっと書かずにいられなくなったのでポエムを書きました。 背景 問題 検知している方が正しいように見えがち 条件を揃えるのが難しい 環境の再現が難しい 検知数が多い方が良さそうに見える 正解かどうかの判断が難しい カバー範囲の正確な見極めが難しい 検知されないほうが嬉しい まとめ 背景 お前誰だよってなるかもしれないので書いておくと、Trivyという脆弱性スキャナーのメンテナをやっています。 github.com とある有名な方による以下のツイートがありました。 I just discovered, during @cloudflare #SecurityWeek no less, that Trivy (the vuln scanner) doesn't detect known issues in Alpine images. Including a critica
オラクル、古いJavaのユーザーに警告することで合意--FTCとの和解で
UPDATE Oracleは米連邦取引委員会（FTC）との和解に基づき、Java SEの古いバージョンを実行しているユーザーに対して警告を発するよう命じられた。 今回の合意により、Javaを更新すればコンピュータは「安全」になると述べてユーザーを欺いていたとするFTCが訴えていた件が決着した。ソフトウェアを更新すれば通常は保護されるはずだが、Oracleはユーザーに対して、Java SEの複数のバージョンがインストールされる場合に古いバージョンがコンピュータ上に残ることを通知していなかった。この古いソフトウェアが、ハッカーらにとって格好の標的となっていた。 Oracleは2010年のSun Microsystems買収に伴い、数十億台もの機器と約8億5000万台ものPCにインストールされているランタイムであるJavaを手に入れた。Javaは、配布範囲が広く、機器をハッカーやエクスプロイトキ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
