セキュリティを丸投げしたい！ と思ってしまったときに見るべき指南書
サイバー犯罪は、日々高度化と複雑化を続けています。守る側はそれに追いつくために新技術を取り入れ、最新の攻撃にも対応できる柔軟な仕組みを構築し、どんな脅威にも即応できるセキュリティ人材を組織内で育てるべきである。……というのは、一部の大企業でしか実現できない夢物語かもしれません。そんな「一部の大企業」ではない大半の企業が頼れる先として「マネージドセキュリティサービス」（MSS）があります。 MSSとはセキュリティ対策をアウトソースし、企業内に設置した機器の監視をしてもらうものです。特にセキュリティ人材が不足しがちな中堅中小企業において、レベルの高いセキュリティ対策を実現できるのが魅力といえるでしょう。 しかし「MSSに全て任せれば、プロの集団による的確で適切な対策が手に入る」と思ってしまってはいけません。丸投げでは最適解にはたどり着けないのです。それでは、何を考えておけばいいのでしょうか。
高木浩光＠自宅の日記 - 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む
■ 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む IPAの「安全なウェブサイトの作り方」（改定第7版2015年、初版2006年）のHTML版が出ている。項目別にページが作られている。 1.1 SQLインジェクション 1.2 OSコマンド・インジェクション 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル 1.4 セッション管理の不備 1.5 クロスサイト・スクリプティング 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） 1.7 HTTPヘッダ・インジェクション 1.8 メールヘッダ・インジェクション 1.9 クリックジャッキング 1.10 バッファオーバーフロー 1.11 アクセス制御や認可制御の欠落 というのも、4年前にWELQ問題が火を噴いたのと同様に、キーワードWeb検索からの流入を当て込む「いかがでしたか系」の乱造記事のSEO汚染の
Googleが発見した「CPUの脆弱性」とは何なのか。ゲーマーに捧ぐ「正しく恐れる」その方法まとめ - 4Gamer.net
Googleが発見した「CPUの脆弱性」とは何なのか。ゲーマーに捧ぐ「正しく恐れる」その方法まとめ ライター：米田 聡 一般メディアにもニュースとして取り上げられたので，2017年末からにわかに騒がれだした「CPUの脆弱性」については，4Gamer読者も多くが聞き及んでいることだろう。海外では，「Spectre」（スペクター）や「Meltdown」（メルトダウン）といったおどろおどろしい名前が付いているので，そちらを目にしたという読者もいると思う。 「Intel製のCPUだけが持つ脆弱性で，AMD製のCPUなら問題ない」から始まって，「いやいやAMD製のCPUも同様の脆弱性を抱えている」，さらには「メモリページング方式の仮想記憶を使うCPUのすべてが持つ脆弱性である」などと，情報が錯綜しているので，何を信じたらいいのか分からないという人も多いのではなかろうか。そもそも，メモリページング方式
「パスワードは定期的に変更してはいけない」--米政府 （ニューズウィーク日本版） - Yahoo!ニュース
＜アメリカの電子認証専門機関が、定期的なパスワード変更の推奨をやめると決めた。エンドユーザーもいずれ、代わりの新しい「パスフレーズ」を要求されるようになるはすだ＞ 米政府機関はもう、パスワードを定期的に変えるのを推奨しない。アメリカの企画標準化団体、米国立標準技術研究所（NIST）が発行する『電子認証に関するガイドライン』の新版からルールを変更する。 ウェブサイトやウェブサービスにも、サイトが乗っ取られたのでもない限り、「パスワードが長期間変更されていません」などの警告を定期的に表示するのを止めるよう勧告するという。銀行や病院のように人に知られてはいけない個人情報を扱う機関も同じだという。 【参考記事】パスワード不要の世界は、もう実現されている？！ 実は近年、情報セキュリティー専門家の間でも、特別の理由がない限り、ユーザーにパスワード変更を求めるべきではないという考え方が増えてきた
Wi-Fiの種類、危険性と対策：10分でわかるWi-Fiの基礎知識 - 久保清隆のブログ
「ノートン」の『フリーWi-Fiセキュリティに関する説明会』に参加してきた。 最近はカフェや空港、ホテルなど、フリーWi-Fiを使える場所が広がってきて便利になったが、その反面リスクも増えてきている。 フリーWi-Fiは、そのリスクについてしっかりと理解した上で使ったほうがよいと思う。 今回、Wi-Fiの種類とフリーWi-Fiの危険性、その対策について基本的な知識を得ることができて、非常に勉強になった。 目次 1. Wi-Fiとは Wi-Fiはどんなときに使うのか：活用シーン Wi-Fiの種類 2. フリーWi-Fiの危険性 フリーWi-Fiとは？ フリーWi-Fiの危険性 暗号化技術について 乗っ取られた場合の被害事例 ハッキングのデモムービー 3. フリーWi-Fiのリスクへの対策：安全に利用するための方法 誰でも今すぐ無料でできる対策 お金をかけて万全を期す対策：楽に簡単に安全にフリ
【決定版】２週間でできる高度情報処理の午前Ⅰ対策（応用情報処理でも使える） - 情報処理技術者試験ノウハウサイト
【管理人の活動】2021年4月にUdemyコンテンツ公開しました！→ クラウドでのシステム開発 ー Microsoft Azure に興味がある方は見て下さい（動画学習サイトUdemyに飛びます） 試験に合格するための高度午前Ⅰ対策 最終更新日．２０２３／２／１３ この記事の対象者 ● 午前Ⅰだけでも合格したい ● 午前Ⅰ免除が切れたので、午前Ⅰを楽して合格したい ● 最短距離で試験の合格に向かいたい ● 無駄な勉強をしたくない ● 応用情報試験の午前を合格したい （応用情報試験の午前問題対策にもそのまま使えます） わたしのオススメは、 「午前Ⅰ対策はちゃんと勉強しない」 です。 午後対策に時間をかけてください！ それが合格への近道です！ カメ組は置いていきましょう。 午前Ⅰをちゃんとやらない理由 ● そもそも受験する目的はなんですか？ ● 試験に合格することですね？ ● 午前・午後の全て
「最近の偽装メールはここまでやらないと確認できないのか？」・・・という話
西村誠一 @khb02323 ↓昨日、今日はじまった話でもなくて、ここ数年来続いてる話だと思うのですが、最近の偽装メールは「あまりに巧妙」なので、うっかりするとそれなりにＩＴリテラシーある人でも簡単に騙されますよ？・・・という話です。（今回、私は詳細に確認する迄本物か偽物か判別できませんでした） 2016-08-04 13:28:49 西村誠一 @khb02323 ↓私は結構パソコンでMMORPGとか色んなゲームをやる方で「ハンゲーム」のアカウントも持っていました （※）ただ、「ハンゲーム」のゲームは半年～数年やってなかったので放置状態ではありました 2016-08-04 13:28:55 西村誠一 @khb02323 ↓ゲームや銀行などで「偽装メール」、「詐称メール」は日常的に多いと思うんですが、今日、私の所に「ハンゲーム」から「ご登録パスワード変更完了のお知らせ」というシステム自動送信
不正ログイン「受けたことがある」3割、パスワードハッシュ化「していない」4割 総務省のWebサービス企業調査
ユーザーが設定可能なパスワードの最小文字列長は8けた以上が54％だったが、4けた以下の企業も14％あった。パスワード保管時に暗号化している企業は71.5％、ハッシュ化は57.2％が行っていた。ハッシュ化は有料サービスを提供企業の72％が実施しているのに対し、無料のみのサービスは30％にとどまった。 ハッシュ化を行っている企業に、ハッシュ化前のパスワードに文字列を追加するソルトと、ハッシュ化を繰り返すストレッチングを行っているか聞いたところ、50％がソルト・ストレッチングいずれかを行っており、ソルトの実施率が44％、ストレッチングが25％だった。 同一IDに対するログイン試行回数の制限は82％の企業が導入している一方、同一IPアドレスからのログイン試行回数の制限を実施している企業は43％にとどまった。 2段階認証を導入している企業は43％。通常と異なるIPアドレスやタイムゾーンからのログイン
【セキュリティ ニュース】患者の個人情報がネット上で閲覧可能な状態に - 聖路加国際病院（1ページ目 / 全1ページ）：Security NEXT
聖路加国際病院は、患者の個人情報含むファイルがインターネット上で閲覧可能な状態にあったことを明らかにした。 同院が扱うファイルにインターネット経由でアクセスできる状態になっていたことが判明したもの。2003年1月から11月の間に女性総合診療部で診療を受けた70人の個人情報が含まれるファイルが外部より閲覧が可能となっていた。 問題のファイルには、氏名、年齢、検査結果などが記載されており、同院ではファイルを削除した。関連する患者に対しては、書面で報告と謝罪を行っている。 （Security NEXT - 2015/02/04 ） ツイート
間違いだらけの「かんたんログイン」実装法
今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間
狙われる「情報家電」、コーヒーメーカーにも“危険な脆弱性”
狙われる「情報家電」、コーヒーメーカーにも“危険な脆弱性” 「組み込みシステムは格好の標的」、IPAがシンポジウム開催 「組み込みシステムは、攻撃者にとって格好のターゲット。情報家電（ネットワーク接続機能を持つ家電）も例外ではない」。情報処理推進機構（IPA）研究員の鵜飼裕司氏は2011年2月24日、IPAが開催したシンポジウムにおいて、情報家電のセキュリティについて解説した。 2010年から、政府では2月を「情報セキュリティ月間」と定め、情報セキュリティに関する普及啓発活動を、官民連携で集中的に実施している。その活動の一環としてIPAでは、「情報家電」「自動車」「中小企業におけるクラウド」「重要インフラ」の4分野におけるセキュリティ動向を解説するシンポジウムを、2月24日と25日の2日にわたって開催している。 鵜飼氏は情報家電のセキュリティに関するシンポジウムに登壇。情報家電を含めた組み
パスワードの定期変更という“不自然なルール”
しばしば「パスワードは○日ごとに変更しましょう」といわれるけれど、それで本当にクラックの危険性は減るの？ ペネトレーションテストの現場から検証します（編集部） ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、アンチウイルスソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 今回は久しぶりに、ペネトレーションテストの現場の話から始めよう。 ペネトレーショ
OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT
OAuth 2.0で Webサービスの利用方法はどう変わるか ソーシャルAPI活用に必須の“OAuth”の基礎知識 株式会社ビーコンIT 木村篤彦 2011/2/2 TwitterがOAuth 1.0を採用したのを皮切りに、今では多くのサービスがOAuth 1.0に対応しています。国内でも、例えば、マイクロブログ型コラボツール「youRoom」、小規模グループ向けグループウェア「サイボウズLive」、「はてな」のいくつかのサービス、「Yahoo!オークション」、リアルタイムドローツール「Cacoo」などがOAuth 1.0に対応したAPIを公開しています。 ここ数年でOAuthはさまざまなWebサービスのリソースを利用する際の認証方式として普及してきました。これは大きなプレーヤーがサポートしたことも一因ですが、OAuthの持つ以下の2つの特徴によって、「OAuthを使うと、サービスプロバイ
知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA「情報セキュリティ白書2019」PDF版の無料公開開始！ AIやIoTなどをテーマに解説 
【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ
「GHOST」は危険じゃなかった！？ 求められる脆弱性情報の見極め方