「サイバー攻撃の犯人は誰？知る必要はあるのか」を読んで - IT Research Art
「サイバー攻撃の犯人は誰？知る必要はあるのか」という記事が出ています。「セキュリティ業界では、常識だと思われているが実はそうではない「セキュリティの非常識」がたくさんある。」として、有識者が語るという企画です。 有識者の意見としては、かなり限定つきの上で、「アトリビューションが重要でない場合もある」という意見のようです。たとえば、根岸さんは、「一方、一般企業がサイバー攻撃を受けたときは、その攻撃者が国家かそうでないかなどは関係なく、対策をきちんとやることが重要になります。誰が攻撃したかは二の次です。」ということで、アトリビューションがそれほど重要ではない場合もあるというスタンスのようです。 でもって、タイトルが、「攻撃者が誰なのかは重要か」なので、重要ではないという論に思えるけど、場合によるよねという話です。見事に、編集者の作戦に乗ってしまいました。 ただ、このような場合にアトリビューショ
情報収集のため100レーンのTwitterをウォッチ!? セキュリティエンジニアが語る2017年注目の事件とは【TechLION vol.31レポート】
TechLIONは、IT文化の振興と、UNIX／Linux文化の楽しさを広く伝え、エンジニア同士の連帯を図ることを目的とするトークイベント。日々多くの技術が生まれ、消えていく中、これらの技術を密林の動物たちになぞらえ、百獣の王となる技術を酒を酌み交わしながら発掘・探求しようという目的で開催されている。31回目となる今回はサイボウズ東京オフィスにて「セキュリティエンジニアっておいしいの？」をテーマに開催された。本稿ではその模様をレポートする。 TechLIONは初のサイボウズ社での開催 地下鉄を出るとオフィスビルがひしめき合うビジネス街。スーツ姿のサラリーマンが目立つ。しかし初めてTechLIONの会場となるサイボウズのイベントスペースは、華やかで明るく、まるで別世界だ。大型のキリンのぬいぐるみや、小鳥のオブジェが点在する。壁はグリーンの葉で彩られ、まさにサファリというイメージ。27階ならで
はじめてのAdversarial Example
今回はadversarial exampleについて解説していきます。Adversarial exampleというのは、下図のように摂動を与えることによりモデルに間違った答えを出力させてしまうもののことです。 この例では、もともとモデルがパンダと正しく分類することができていた画像に摂動を与えることで、テナガザルと誤分類させています。しかし、人間には元の画像との違いはほとんど分からず、パンダのままに見えます。 Adversarial exampleは機械学習モデルを実用化していく上で大きな問題となります。例えば、交通標識をadversarial exampleにしてしまえば、自動運転車をだませてしまう可能性があります。 注目を集めてきている研究分野ですが、まだちゃんと調べたことがないという人も多いかと思います。今回もなるべく丁寧に解説していきたいと思います。 目次 基礎 攻撃 防御 論文紹介
WannaCryや脆弱性とどう戦う？piyologの中の人に聞く、知っておきたいセキュリティ重大事件
WannaCryや脆弱性とどう戦う？piyologの中の人に聞く、知っておきたいセキュリティ重大事件 WannaCry、WPA2の脆弱性など、最近セキュリティに関する事件に注目が集まっています。国内外のセキュリティインシデントにまつわる情報をまとめ続けるpiyokangoさんに、エンジニアが学ぶべきセキュリティに対する心がけを聞きました。 大規模な情報漏えい、標的型攻撃、名前の付いた深刻な脆弱性──昨今のITセキュリティに関わる事件、事故は増えるだけでなく、影響範囲も拡大しています。しかも、その攻撃内容は複雑化し、守る側は常に後手に回らざるを得ない状況が続いています。 だからといって、何もしないわけにはいかないのがセキュリティ。企業の、そして個人のリスクを軽減するためにできることは「知る」ことではないでしょうか。 その「知る」をサポートするのがpiyokango（@piyokango）さん
異業種をつなげるX-Tech JAWSで聞いたAdTechとFinTech事例
新しいコミュニティの立ち上げをこの目で見ることは、記者としても望外の喜び。数多くの専門勉強会が存在する都内のJAWS-UGにおいて、新たに生まれたのがX-Tech JAWS（エクステックジョーズ）になる。10月20日に行なわれた第1回の勉強会のうち、まずは前半をレポートする。 異業種同士の交流の場として生まれたX-Tech JAWS 立ち上げ宣言から、約1ヶ月というスピードでX-Tech JAWSを立ち上げた吉江瞬さん。Security-JAWSの運営メンバーでもあり、NW-JAWS（Network-JAWS）とのコラボレーションも仕掛けてきた。そんな吉江さんは、新たなコミュニティを立ち上げた経緯について、「セキュリティエンジニアとして長らくFinTechの勉強会に参加してきたけど、ほかの業界のことを知りたくなった」と説明する。 実際、クラウドの普及によって、あらゆる業界でテクノロジーと既
#ssmjp キタガワナイト「公開情報から読み解くWnnaCry騒動」にブログ枠で参加してきた - Blog::koyhoge::Tech
本日10月26日に開催されたssmjpにブログ枠で参加してきました。 ssmjp.connpass.com 競争率3倍以上の人気イベントで、抽選で勝ち残れる気がまったくしなかったので、先着3名で空いていた「ブログ枠」というものにさくっと申し込みました。ブログ枠というからにはブログを書かなければいけません。イベント中はひたすらメモを Markdown で書いてて、イベント終了とほぼ同時に gist で公開といういつものパターンをやったのですが、なにせブログ枠なので、はてなブログの機能で gist を貼り付けてブログエントリに仕上げました。 北河さんによる発表内容は本当に広く深くて、頑張ってメモりましたがそれでも全体の3〜4割くらいだと思います。 今年5月に社会を大きく騒がせた WannaCry ですが、不正確な情報や明確な間違いが結果的に多く流れました。公開情報を丹念に追うことで、それらがど
複雑なパスワードを強制、でも破られやすいという現実
「今までのパスワード規則は実は失敗作だった」。2017年8月、米ウォール・ストリート・ジャーナルのオンライン版に衝撃的な記事が掲載された。告白の主は米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の作成者の1人。 SP800-63は米国連邦政府の認証に関するセキュリティ要求事項をまとめたガイドライン文書だ。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは「認証を包括的に扱ったおそらく唯一のガイドラインで、ECサイトや銀行、会員管理、業務システムの開発などで民間企業もよく参考にする」と話す。 かつてのSP800-63は「英大文字、小文字、数字、記号をすべて使う」「定期的に変更する」といった規則をWebサイトが利用者に課して、パ
セキュリティ情報の収集方法について
自分にとって、何が目的か 5 ▪シンプルに２Ｗ１Ｈで整理 WHY なぜ（動機） サイバーリスクから自社のシステムを守るため 顧客にセキュリティ情報を提供するため 自己のセキュリティスキル向上のため WHAT 何を（対象） 脆弱性情報（Apache Struts、WordPress、BIND、Flash Playerなど） サイバー攻撃情報（WannaCry、NotPetya、9.18柳条湖事件に起因） IoC情報（C2サーバ、攻撃元IPアドレス、検体のハッシュ値など） 攻撃の予告（攻撃リスト、OpKillingBayなどの攻撃キャンペーン） HOW どのように （ツール・手法） SNS（Twitter、TweetDeck、Yahoo! リアルタイム検索） RSSリーダー（feedly、Google Alert、Queryfeed） キュレーションサイト（Togetter、NAVERまとめ）
ブラウザの脆弱性とそのインパクト // Speaker Deck
セキュリティ・キャンプ全国大会2017の講義資料です（Masato Kinugawaさんとの共同制作です）。
OWASP Dependency Checkを、Vulsと連携して表示させる - IDCF テックブログ
こんにちは。Vuls Slackチーム辺りをうろうろしている、井上と申します。 MORIO Dojoは白帯のままです(そろそろ青帯になりたい)。 某SNSでは、脆弱性情報やセキュリティインシデントを追いかけています。 近年、セキュリティ業界でも「シフトレフト」が叫ばれています。 「テストなどの工程を、プロジェクトライフサイクルのより速い段階で実施する」というアプローチです。 セキュリティに関しても同様で、リリース前にテストをすることで、リリース後のセキュリティ対応負荷を軽減することができます。 今回は、WEBアプリケーションの依存ライブラリの脆弱性を検査する OWASP Dependency Checkを利用して、WEBアプリケーションリリースのシフトレフト、を目指します。 OWASP Dependency Checkとは OWASPとは、2015年の資料によると以下のように説明されていま
無謬（むびゅう）性から脱却してサイバーレジリエンス構成学に取り組む門林教授
無謬（むびゅう）性から脱却してサイバーレジリエンス構成学に取り組む門林教授：「ソフトウェアにはバグがある」「人はミスをする」前提での被害軽減を（1/2 ページ） 奈良先端科学技術大学院大学の門林雄基教授は、2017年4月1日に「サイバーレジリエンス構成学研究室」を立ち上げる。同教授はその狙いを、ユーザーが自由にシステムを組み合わせて使う中で、「無謬（むびゅう）性を前提にせず、被害軽減技術や安全運転支援技術に取り組んでいく」と述べた。 セキュリティインシデントが起きるたびに、侵入を許した原因が調査され、対策が講じられ、意識の向上が呼び掛けられてきた。それにもかかわらず、サイバー攻撃による被害は後を絶たない。こうした現状を前に、被害の予防だけに力を注ぐのではなく、「被害は発生するものである」という前提に立ち、侵入の早期検知と被害軽減を図るアプローチに注目が集まりつつある。 奈良先端科学技術大学
新モスマン: 今更だけどCountdown to Zero Dayはいい本だよ
米国人ジャーナリストキム･ゼッターのCountdown to Zero Dayという本は力作である。2000年代後半にイランのウラン濃縮施設がStuxnet(スタックスネット)と呼ばれるコンピュータウイルスによって攻撃された事件について、圧倒的な情報量でその実態を暴いていく。 Kim Zetter, “Countdown to Zero Day: Stuxnet and the Launch of the World's First Digital Weapon",Crown,2014. 私は、｢A国が関与するサイバー攻撃が発覚｣などという報道があれば必ずA国の知人に｢ほんとにやったの?｣と聞くことにしている。そういう馬鹿な質問にたいしては記事の全体あるいは一部がでたらめであることを強調する回答が返ってくるのがお決まりだ。 そんな中、本書については｢よく調査して書かれた本だと思う(ため息)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Services de cybersécurité
GitHub - olacabs/jackhammer: Jackhammer - One Security vulnerability assessment/management tool to solve all the security team problems.
[CEDEC2017] LINEゲームのセキュリティ診断手法![[CEDEC2017] LINEゲームのセキュリティ診断手法](https://cdn-ak-scissors.b.st-hatena.com/image/square/f58cb8b7e4ddb794a5333d7c44d9b64341cfbe89/height=288;version=1;width=512/https%3A%2F%2Fcdn.slidesharecdn.com%2Fss_thumbnails%2Fcedec2017game1web-170831030226-thumbnail.jpg%3Fwidth%3D640%26height%3D640%26fit%3Dbounds)
OSS or Freeのセキュリティ診断ツール - Qiita
https://dl.acm.org/journal/csur
GitHub - ken5scal/awesome-ml-for-cybersecurity: Machine Learning for Cyber Security
CVE Database - Security Vulnerabilities and Exploits | Vulners.com
GitHub - WebAppPentestGuidelines/WebAppPentestGuidelines: Webアプリケーション脆弱性診断ガイドライン
