情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
中国の検閲用ファイアウォール、ケンブリッジ大研究グループが突破
ケンブリッジ大学に所属するコンピュータ専門家らが、中国の国家的なファイアウォールを突破し、さらには同ファイアウォールを踏み台にして、国内の特定のインターネットアドレスへサービス拒否（DoS）攻撃を仕掛ける方法までをも発見したと述べている。 Ciscoのルータを利用するこのファイアウォールは、政治的なイデオロギーや団体など、中国政府によって不適切と判断され、検閲対象になったキーワードを基準に、ウェブトラフィックをふるいにかけるために用いられている。 ケンブリッジ大の研究チームは、「Falun」という語句を含むデータパケットを送信し、ファイアウォールの性能を検証したという。Falunとは、中国で活動が禁止されている宗教団体「法輪功（Falun Gong）」を意味している。 その結果、エンドポイントに接続破棄を強制するために中国側のルータが挿入してくる偽のTCPリセットを無視すれば、侵入検知シス
エクスプロイト・ツールキット「Fragus」，ビジネス・モデルを変更
当社（米シマンテック）のセキュリティ監視網に数カ月前，「Fragus」というエクスプロイト・ツールキットが引っかかった。当社が調査したところ，その後Fragusは着実に勢力を拡大し，現時点で最も使われているエクスプロイト・パックの一つになったと見られる。「Unique Pack」や「YES Exploit System」，「Eleonore」，「Liberty」といったほかのツールキットと似ている点はあるが，興味深い新機能を装備していた。エクスプロイト・ツールキットの目的は一般的に，「複数のエクスプロイトをWebサイトで一括配信し，不用心なユーザーのWebブラウザを攻撃する」機能を提供することだ。使いやすいGUIを備えるWebサーバーでホスティングされており，多くの場合，攻撃者が実行したいエクスプロイトを選べるようになっている。エクスプロイトの動作が成功すると，最終的にペイロードを攻撃目標
HTTPS脆弱性、100のうち24は対処 | エンタープライズ | マイコミジャーナル
The primary goal of the TLS protocol is to provide privacy and data integrity between two communicating applications. 2009年11月に入ってからTLS/SSLに介入者攻撃を可能にする脆弱性(CVE-2009-3555)があるというニュースが伝えられた。 この脆弱性を利用されると介入者がプロトコルストリームのはじまりの段階で任意の量のプレインテキストを挿入することが可能になる。HTTPとの組み合わせで調査されているが、ほかのプロトコルとの組み合わせでも同様の問題が発生する可能性があり、しかもこの脆弱性は実装側では抜本的な対処が難しい。OpenSSLは同脆弱性の原因となる処理をそもそも無効にするバージョンをOpenSSL 0.9.8lとして公開している。 TLS/SSLに設計
UTF-8.jp
- WinMirror - 任意のアプリケーションのウィンドウやデスクトップをミラーリングして表示できます。 解説: オンサイトでの登壇で返しのモニターがなくてもデモをやりやすくするツールを作った - SSTエンジニアブログ - 音声字幕機能付きのWebカメラ - Web Audio APIを使ってマイク入力をスピーカーから出力 - LTタイマー - JavaScriptセキュリティの基礎知識：連載｜gihyo.jp … 技術評論社 - HTML5時代の「新しいセキュリティ・エチケット」－ @IT - 教科書に載らないWebアプリケーションセキュリティ － ＠IT - 連載：本当は怖い文字コードの話｜gihyo.jp … 技術評論社 - JSF*ck - encode JavaScript with only 6 letters - []()!+ (broken) JSF*ck demo
Nikto 2.5 | CIRT.net
Nikto is sponsored by Netsparker, a dead accurate and easy to use web application security solution. Nikto 2.5 is an Open Source (GPL) web server scanner which performs comprehensive tests against web servers for multiple items, including over 7,000 potentially dangerous files/programs, checks for outdated versions of over 1250 servers, and version specific problems on over 270 servers. It also ch
The Web Application Security Consortium / Web Application Security Scanner Evaluation Criteria
Section 1 - Protocol Support Section 2 - Authentication Section 3 - Session Management Section 4 - Crawling Section 5 - Parsing Section 6 - Testing Section 7 - Command and Control Section 8 - Reporting Introduction Web Application Security Scanners are automated tools to test web applications for common security problems such as Cross-Site Scripting, SQL Injection, Directory Traversal, insecure co
htmlspecialcharsに関する残念なお知らせ - 岩本隆史の日記帳（アーカイブ）
「htmlspecialcharsのパッチ私案」に書いた件、バグレポートを出してみましたが、「すでに同じバグレポートがあるだろ」という理由により、あえなく却下されました。 せめて先方が「同じ」とみなしているレポート番号ぐらいは示してほしくて、そのようにコメントしましたが、お相手のjaniという人は気難し屋のようで*1、教えてもらえる気がしません。 私なりに探した結果、下記のレポートがくさいように感じました。 PHP :: Bug #43896 :: htmlspecialchars() returns empty string on invalid unicode sequence 「不正なUTF-8シーケンスの場合に空文字列を返すのはおかしい」というレポートで、私のそれとは正反対どころか、Shift_JISにもEUC-JPにも触れられていない別個のものです。もちろん、私はレポート送信前に
陸自情報漏洩 容疑者は募集所の所長 - MSN産経ニュース
陸自隊員による過去最大の個人情報漏洩（ろうえい）事件が３１日、発覚した。全国の陸上自衛隊員のほぼ全員分の約１４万人に加え、家族情報までが外部の業者に漏洩していた。緊張感あるはずの組織からの情報流出に、鹿児島地方協力本部では「誠に遺憾」と謝罪した。 防衛省などによると、逮捕された１等陸尉、徳永安成容疑者（４６）は鹿児島県内にある募集所の所長として、隊員の募集業務を担当。業務上、陸自の全隊員の個人情報が入ったデータを閲覧できる立場にあった。 情報は隊員募集の便宜のために集積されたもので、「隊員が住む地域の人をリクルートする際に活用していた」（同本部広報企画室）という。管理者である所長の許可を受けた所員しか閲覧できないが、今回の事件では徳永容疑者本人が管理者だった。 徳永容疑者は昭和５６年に一般入隊。鹿児島県内の陸自で複数カ所を勤務後、平成２０年３月から現職。 自衛隊ではイージス艦に関する最高レ
ミサイル製造物資をミャンマーに不正輸出 北系商社社長を再逮捕 神奈川県警 - MSN産経ニュース
東京の北朝鮮系貿易会社が北朝鮮の指示で大量破壊兵器開発に転用可能な物資をミャンマーに不正輸出しようとした事件で、神奈川県警外事課は２４日、外為法違反（無許可輸出）容疑で、貿易会社「東興貿易」社長、李慶鎬被告（４１）＝同未遂罪で起訴＝を再逮捕した。県警は北朝鮮の軍需調達機関「第２経済委員会」が取引を主導した疑いがあるとみて捜査を進める。 同課によると、李容疑者はおおむね容疑を認めているという。 県警の調べでは、李容疑者は昨年１１月、機械製造メーカーを輸出元として、ミャンマーにミサイル開発などに使われる小型円筒研削盤１台（約３００万円相当）を、経済産業大臣の許可を得ずに名古屋港から輸出した疑いが持たれている。 李容疑者は昨年６月、ミャンマー向けに小型円筒研削盤を横浜港から輸出することを計画。経産省から輸出規制物資に該当するとして輸出許可申請を出すよう警告を受けたが、輸出元と積出港を変更して輸出
「サイバー戦」対策で米露が火花…開発技術で優位に立つ米、「次世代の戦場」の非武装化を求める露 (1/2ページ) - MSN産経ニュース
「サイバー戦」対策で米露が火花…開発技術で優位に立つ米、「次世代の戦場」の非武装化を求める露 (1/2ページ) 2009.7.21 23:27 サイバー攻撃への対応を「次世代の戦争」ととらえて、新しい防衛戦略を策定する動きが米国を中心に広がっている。特に米国とロシアは、サイバー攻撃への対処で国際的な枠組み作りを模索する一方で、より有利な立場を確保しようとつばぜり合いを激化させている。米・韓両政府へ大規模な攻撃が行われるなど、サイバー攻撃の脅威が高まっているだけに、今後は各国の対応も加速しそうだ。 米国防総省は６月２３日、米軍内に「サイバー司令部」の設置を決定。米軍のコンピューター・ネットワークへの攻撃に対する防衛のほか、サイバー兵器の開発も行うという。 英政府も２日後の２５日、サイバー攻撃の脅威に対する新防衛戦略をまとめる方針を明らかにした。ロイター通信によると、ブラウン首相は声明を発表
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
コモンクライテリア登録制度 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
IT news, careers, business technology, reviews
http://ui.koeyo.com/
「BIND 10」をC++とPythonで書く狙いとは JPRSに聞く、次期DNSソフト開発の意義＜後編＞
「BIND 10」では、named.confが無くなる？ -INTERNET Watch
Be Suspicious. Online Security Blog - Suspek.org
http://www.technobahn.com/cgi-bin/news/read2?f=200804230005
Amazon.co.jp: 蠢く!中国「対日特務工作」マル秘ファイル: 袁翔鳴: 本
http://htmlpurifier.org/