私のセキュリティ情報収集法を整理してみた（2024年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2024年版）」を今年も公開します。 ■はじめに サイバー攻撃は国境を越えて発生するため、ランサムウェア、フィッシング、DDoS攻撃など、近年のサイバー脅威の常連となっている攻撃者（脅威アクター）が主に海外にいることを考えると、世界の脅威動向を理解することが年々重要になっています。 海外から日本の組織が受けるサイバー攻撃の多くでは、国際共同オペレーション等の一部のケースを除き、日本の警察が犯罪活動の協力者（出し子、買い子、送り子）を摘発することはあっても、サイバー攻撃の首謀者（コアメンバー）を逮捕するまで至るケースはほとんどありません。 誤解を恐れずに言えば、日本の組織は海外からの攻撃を受け続けているのに、海外で発生したインシデントや攻撃トレンドの把握が遅れ、対策が後手に回っているケースも多いように感じます。最
連日さまざまなサイバーセキュリティ犯罪のニュースが報じられる中、いまだに日本のセキュリティレベルは高いとは言えない状況にあります。一方で、企業がサイバーセキュリティ対策を進める上では、人材不足や経営層の意識・関心、コスト、導入による利便性の低下など、さまざまな壁が立ちはだかっています。 そこで今回は、株式会社網屋が主催する「Security BLAZE 2023」より、サイバーセキュリティのエキスパートによる講演をお届けします。本記事では、米金融大手で1億人以上の個人情報が漏えいした事件の背景をひもときながら、問題点とセキュリティ対策のポイントを解説します。 Webセキュリティの第一人者が語る、個人情報流出事件の裏側 徳丸浩氏：ただいまご紹介いただきました、EGセキュアソリューションズの徳丸でございます。本日は「米国金融機関を襲った個人情報大規模流出事件の真相」というテーマでお話をさせてい
#翻訳 https://www.scalyr.com/blog/the-10-commandments-of-logging/ CC BY 4.0 @Brice Figureau 1.自分でログの書き出しをしない printfをつかったり、ログエントリを自分でファイルに書き出したり、ログローテションを自分でやったりしてはいけない。運用担当者にお願いして、標準ライブラリやシステムAPIコールを使うようにしよう。そうすれば、実行中のアプリケーションが他のシステムコンポーネントと適切に連携して、特別なシステム設定なしに適切な場所またはネットワークサービスにログを記録できるようになる。 ロギングライブラリを使いたければ、特にJavaの世界にはLog4j, JCL, slf4j, logbackなど多くのものが存在する。私はslf4jとlogbackを組み合わせて使うのが好きだ。とてもパワフルで、設
2020年1月20日、三菱電機は自社ネットワークが不正アクセスを受け、個人情報等が外部へ流出した可能性があると発表しました。ここでは関連する情報をまとめます。報道によれば現在も三菱電機は不正アクセスへの社内調査等を進めています。 発端は研究所サーバーの不審ファイル動作 2019年6月28日に情報技術総合研究所のサーバーで不審なファイルが動作したことを社内で検知。 同じファイルが中国、及び国内他拠点で検出され内部侵害の被害を受けている可能性を受け調査を開始。 報道された出来事を時系列にまとめると以下の通り。 日時 出来事 2017年後半？ 三菱電機の中国国内子会社でマルウェア感染。 2019年3月18日 三菱電機が中国拠点のウイルスバスター法人向け製品の脆弱性を悪用された攻撃を受ける。*1 ： アップデート機能を悪用し中国拠点で侵害範囲が拡大。 2020年4月3日 中国拠点端末より国内拠点の
私のセキュリティ情報収集法を整理してみた（2022年版） - Fox on Security
新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増しています。去年に引き続き、今年も絶対外したくない海外サイトからご紹介します。 サイト キタきつね寸評 1位 morningstar SECURITY 不動の1位です。ジャンルの広さ、情報の更新頻度、関連ソースの網羅性など、英語系のセキュリティニュースとしては群を抜いた、最良のまとめサイトです。 私は「Daily Security News（最も人気のあるセキュリティニュース）」（一番上）と「Security Blogs（セキュリティブログ）」（下から3つ目）を主にチェックしていますが、人によって興味が違うかと思いますので、「Malware/APT」「Exp
更新履歴 3/5および2/28の一部記述を削除した（3/22） 日付を昇順に並び替えた。あとリード文変更（7/10）←NEW 1月19日（非常事態宣言in my family） この日がまぁ非常事態宣言in my family発令の日だ。発令はこのようになされた：妻に折り入って話がと切り出して「自分は専門家じゃないから究極的には分からない、たとえば兵器の移動を示す衛星情報とやらの検証もできないし、ロシアが今そんなことする必然性というのも自分自身完全には腑に落ちてないくらいだからその点であなたを説得することは不可能だけども、こうして米国高官の誰がまた誰が今か侵攻と発言したとかしないとか、そういうニュースに日々接して不安を覚えないということもまた俺には不可能だ」そこからもう一歩踏み込んで「さてそれででは何が起こり得るか何を恐れるべきかということについて俺の考えなんだけども、①ロシア軍を恐れるこ
私のセキュリティ情報収集法を整理してみた（2023年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2023年版）」を今年も公開します。 ■インプットで参照している情報源（海外） ランサムウェア攻撃やフィッシング攻撃等、サイバー攻撃インシデントの多くでは、出し子、買い子、送り子といった犯罪活動の協力者などを除き、日本の警察に逮捕された容疑者はそれほど多くない事が、ニュース等の報道を見ていると分かるかと思います。海外から日本の組織が攻撃を受けているケースが多いと推定される中、自己防衛が重要であり、最近は脅威インテリジェンスを活用して攻撃の初期段階、初期兆候を重要視する企業も増えてきています。海外の主要セキュリティサイトの情報をいち早く把握する事で、脅威インテリジェンス並とまでは言えないかも知れませんが、国内サイトで報じられるまでの時差を稼ぐ事が可能になるケースもあり、当ブログでも有力海外ソースの発信情報をチェッ
コーポレートエンジニアリング担当 VP の @kani_b です。 昨今急速に拡大している新型コロナウイルス感染症の感染拡大リスクを鑑みて、従業員や関係者の皆さまの安全確保を目的に、クックパッドでは 2/18 (火) からまずは2週間ほど、国内拠点の全従業員（正社員、契約社員、パート・アルバイト、派遣社員、通常在席の業務委託）を対象に在宅勤務の原則化を実施することになりました。 クックパッド、新型コロナウイルスの拡大防止対策で、全従業員を対象に在宅勤務（Work from Home）を実施 | クックパッド株式会社 この記事では、現在クックパッドでどのような環境づくりのもと、在宅勤務が行われているかをご紹介します。 どの会社の方も同じような状況にあるかと思いますが、「他社ではどうやっているか」の一例として参考にしていただけると嬉しいです。 仕事に利用するシステム クックパッドでは、業務
情報セキュリティ 10 大脅威 知っておきたい用語や仕組み 2023 年 5 月 目次 はじめに......................................................................................................................................................... 3 1 章. 理解は必須！ ...................................................................................................................................... 5 1.1. 脆弱性（ぜいじゃくせい） .............................
マイナンバーカードの普及促進に向けて、総務省は、まだカードを取得していないおよそ8000万人を対象に、スマートフォンで申請ができるQRコードがついた申請書の発送を28日から始めることになりました。 マイナンバーカードの普及率は、今月25日時点で22.8％にとどまっていて、政府は、令和4年度末までにほぼすべての国民に行き渡るようにする目標を掲げています。 武田総務大臣は、閣議のあとの記者会見で、まだカードを取得していないおよそ8000万人を対象に、28日から申請書の発送を順次始めることを発表しました。 申請書には、オンライン申請用のQRコードがついていて、スマートフォンで読み取ると、氏名や住所などの入力を省略して、顔写真などを登録するだけで申請することができるということです。 このほか、▽パソコンの専用ホームページで、申請書に記載されている「申請書ID」を入力して申請する方法や、▽申請書に顔
NTT Comの不正アクセス事件の第2報が出ていました。内容を見るといわゆる裏口から不正侵入されていた事も書かれており、正直驚きました。 japan.zdnet.com 公式発表 当社への不正アクセスによる情報流出の可能性について(第2報) NTTコミュニケーションズは7月2日、5月28日に公表した同社設備への不正侵入と一部情報の外部流出の可能性について、新たにBYOD端末からのリモートアクセスを通じた経路での侵入も判明したと発表した。情報の外部流出の可能性についても83社分が新たに判明したとしている。 同社によると、調査で新たにVDIサーバーを経由して一部の社内ファイルサーバーへの不正アクセスが確認され、社内ファイルが閲覧された可能性があることが5月26日に判明した。リモートアクセスを利用したBYOD端末からの不正アクセスが判明し、全てのBYOD端末とシンクライアント専用端末のリモートア
クラスメソッドでは、定期的にエンジニアから営業向けの勉強会を行なっています。先日、セキュリティに関する勉強会を行いました。せっかくなので、皆さんにも資料を共有します。 クラスメソッドでは、定期的にエンジニアから営業向けの勉強会を行なっています。先日、セキュリティに関する勉強会を行いました。せっかくなので、皆さんにも資料を共有します。 セキュリティはなぜ難しいのか？ セキュリティに関するAWSサービスはたくさんあり、またパートナー製品も数多くリリースされています。 セキュリティのために何をすればいいのかよくわらない方も多いかと思います。 なぜセキュリティは複雑で難しいのでしょうか？ 私たち自身のセキュリティについて考えてみる AWSのセキュリティを考える前に、私たち自身のセキュリティについて考えてみましょう。 私は今、会社の会議室に同僚といます。 皆さんも会社の会議室にいるシチュエーションを
![[社内資料公開]営業向けAWSセキュリティ勉強会 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/6f1fde3cff7767965729d2d96d3e31da5b8a643d/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2018%2F11%2Feyecatch_developers.io_1200x630.jpeg)
【独自】中国「千人計画」に日本人、政府が規制強化へ…研究者４４人を確認（読売新聞オンライン） - Yahoo!ニュース
海外から優秀な研究者を集める中国の人材招致プロジェクト「千人計画」に、少なくとも４４人の日本人研究者が関与していたことが、読売新聞の取材でわかった。日本政府から多額の研究費助成を受け取った後、中国軍に近い大学で教えていたケースもあった。政府は、経済や安全保障の重要技術が流出するのを防ぐため、政府資金を受けた研究者の海外関連活動について原則として開示を義務づける方針を固めた。 【写真特集】北朝鮮の「瀬取り」を監視するカナダ軍「ネオン作戦」 ■情報流出恐れ 読売新聞の取材によると、千人計画への参加や表彰を受けるなどの関与を認めた研究者は２４人。このほか、大学のホームページや本人のブログなどで参加・関与を明かしている研究者も２０人確認できた。 千人計画に参加した理由については、多額の研究費などが保証され、研究環境が日本より魅力的だとする研究者が少なくなかった。 ４４人のうち１３人は、日本の「科学
レインズの情報を一般公開しない理由｜torum
本日、note運営から「あなたの記事が話題です！先週もっとも多く読まれた記事の一つになりました！」というメッセージを頂戴しました、ありがとうございます。先日の、「スクレイピングした物件データを利用した物件検索サービスは問題ないのか」であります。 その関連で色々な人の意見をつらつらと読んでいたところ、やはり、「レインズの情報を公開しろ」、というコメントが散見されました。いわゆるレインズのオープン化、と言われるやつですね。 レインズとそれにまつわるもろもろは、物凄く誤解が多く、適当な話しが出回り過ぎているので、本当にウンザリで、どれだけの人が分かって言っているのかは不明であります。 以前より、「レインズの情報は不動産ジャパンに掲載されている」みたいなデマは何度も何度も見かけます。「米国では一般でも普通にMLSを見れる」、みたいなデマも。 不動産や取引に係る情報は、機微な情報（売り主の特定に繋が
セキュリティエンジニアを目指す人に知っておいてほしい制度やガイドライン・サービスのまとめ - FFRIエンジニアブログ
はじめに 研究開発第二部リードセキュリティエンジニアの一瀬です。先日は「セキュリティエンジニアを目指す人に知っておいてほしい組織」を公開しました。今回は、セキュリティエンジニアを目指す人に知っておいてほしい制度やガイドライン、サービスについてまとめました。こちらも、セキュリティエンジニアとして働いていると日常的に会話に出てくるものばかりです。これからセキュリティを学ぼうという方の参考になれば幸いです。なお、記載した情報はすべて執筆時点 (2023 年 7 月) のものです。 はじめに 制度・ガイドライン セキュリティ設定共通化手順 (SCAP) 共通脆弱性識別子 (CVE) 共通脆弱性評価システム (CVSS) ISMS適合性評価制度 政府情報システムのためのセキュリティ評価制度 (ISMAP) CSIRT Services Framework PSIRT Services Framewo
サーバーレスのセキュリティリスク - AWS Lambdaにおける脆弱性攻撃と対策 - Flatt Security Blog
はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、AWS Lambda で起こりうる脆弱性攻撃やリスク、セキュリティ対策を解説し、サーバーレスにおけるセキュリティリスクについて紹介します。 はじめに AWS Lambda について サーバーレスにおけるセキュリティリスク AWS Lambda で起こりうる脆弱性攻撃 Lambda での脆弱性攻撃によるリスク 脆弱性攻撃による更なるリスク OS Command Injection XML External Entity (XXE) Insecure Deserialization Server Side Request Forgery (SSRF) Remote Code Execution (RCE) AWS Lambda におけるセキュリティ対策 セキュリティ
侵入型ランサムウェア攻撃を受けたら読むFAQ
ランサムウェアを用いた攻撃は、一台から数台の端末の感染被害から、業務停止を引き起こす大規模な感染被害に至るものまでさまざまです。本FAQでは、企業や組織の内部ネットワークに攻撃者が「侵入」した後、情報窃取やランサムウェアを用いたファイルの暗号化などを行う攻撃の被害に遭った場合の対応のポイントや留意点などをFAQ形式で記載します。 JPCERT/CCでは、こうした攻撃を他のランサムウェアを用いた攻撃と区別し、「侵入型ランサムウェア攻撃」と呼びます。 ネットワーク内部の複数のシステムでファイルの拡張子が変わり開封できなくなった、自組織から窃取されたとみられるファイルを暴露する投稿が行われた、または攻撃者から通知が届いたなどの状況を確認している場合、この攻撃の被害を受けている可能性があります。被害に遭われた企業や組織のCSIRTおよび情報セキュリティ担当の方は、インシデント対応を進める上での参考
セキュリティ相談を受けたときに引用したい記事・ニュース集・事例集 これは何？ セキュリティ相談受けた際、過去のインシデントや事例などを引用して、「その対策必要なの？」というい疑問への説得力を持たせたりすることがあります。 が、その場で思い出せることは稀です。よく引用できていますが、「どっかにあった気がするんだけどな〜」と思って思い出せないことが7割くらいな気がします。 そんなことがないように、ここにまとめていきます。 いつかまとめたいと思っていたんですが、すぐ思い出せないので永遠に先延ばしにしていたので、未完成のまま公開します。 少しずつ思い出す度に増やします。 BetterThanNothingの精神です。 参考: https://www.youtube.com/watch?v=bnfPUrJQh1I 事例集 各種プロダクトのセキュリティガイドラインなど メルカリさんのgithub ac
政府情報システムにおける 脆弱性診断導入ガイドライン 2022（令和 4）年 6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-221 〔キーワード〕 セキュリティ、脆弱性、脆弱性診断 〔概要〕 政府情報システムの関係者が脆弱性診断を効果的に導入するための基準及 びガイダンスを提供する。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 - 初版決定 1 目次 １ はじめに ......................................................... 2 １.１ 目的とスコープ .............................................. 2 １.２ 適用対象 .................................................... 3 １.３ 位置づけ ...
はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、Amazon S3 の脆弱な使い方によるセキュリティリスクと対策を解説し、実際の設定不備などに関する事例についても紹介します。 Flatt Security は専門家の視点でセキュリティリスクを調査するセキュリティ診断を提供しています。クラウドとアプリケーションの総合的な診断の事例として SmartHR 様の診断事例がございますので、是非インタビュー記事をご覧ください。GCP の事例ですが、もちろん今回取り上げる AWS でも同様の診断が可能です。 はじめに Amazon S3 とは バケット・オブジェクト バケット オブジェクト アクセスポリシー バケットポリシー アクセスコントロールリスト(ACL) IAM ポリシー 署名付き URL Amazon S3 に
中国の10億人分の個人情報だとするデータが、インターネットの闇サイトで、販売されていることがわかりました。販売しているのはハッカーと見られ、中国の警察当局のデータベースから入手したと主張し、氏名や住所のほか、携帯電話の番号や犯罪歴なども含まれているとしています。専門家は、「情報の漏えいがあったとすれば、中国では過去にない規模のものだ」としています。 東京の情報セキュリティー会社「サイント」によりますと、インターネット上の闇サイトで、「ChinaDan」と名乗る匿名の人物が、上海の警察当局のデータベースから入手したとする個人情報を、先月30日から販売していることを確認したということです。 ハッカーと見られる人物は、中国に関係する10億人分の情報があり、氏名や住所、携帯電話番号、犯罪歴などが含まれていると主張していて、20万ドル＝日本円にして2700万円あまりの価格を提示しています。 サイトで
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"
youtu.be こんにちは。freee 基盤チーム Advent Calendar 2023 12/6の記事は、PSIRTのWaTTsonがお届けします。セキュリティの仕事をやっている新卒2年目です。 freeeでは会計や人事労務といった領域のプロダクトを提供していて、顧客となる企業の財務情報や給与情報のような、非常に機微な情報を扱うことがあります。このため、情報セキュリティには特に気をつけて対策をとる必要があります。 freeeのセキュリティに関する施策方針については、セキュリティホワイトペーパーにまとめて公開しています。この中で、データの取り扱いについては「セキュリティレベル」を定めてそれに応じた保護策をとる旨が記載されています。 データの取り扱いとセキュリティレベル プロダクトを作る際、機微な情報は適当に定めた信頼境界から外に出さないように運用して、情報漏洩などの被害が起きないよう
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"
こんにちは。今回はセキュリティ関連の調査で非常に便利なサイトである、皆様お馴染みのVirusTotalについて書いてみようと思います。もちろん、タイトルにある通り、「怪談」ですので、一般的な使い方のお話についてはしませんよー。 (2021/2/2 関西大学さんの注意喚起が参考になりますので、それを追記） VirusTotalの裏コマンド「VTENTERPRISE」 やや煽り気味のタイトルですが、VirusTotalには大きく二つの「サービス」があることはご存じでしょうか？一般の方が使うのはいわゆるVirustotalといわれるこちらです。こちらは無料で使えます。 他方、セキュリティ企業やセキュリティを重視する企業がお金（年額120万円以上/Person)を払う事で使えるのが、Virustotal Enterpriseというものです。 VirusTotal Enterpriseは無償のVir
![[怪談]VirusTotal沼のお話（対策含）｜__aloha__](https://cdn-ak-scissors.b.st-hatena.com/image/square/c442611a8468ca2b2ba8de498fb2c81ef38bca53/height=288;version=1;width=512/https%3A%2F%2Fassets.st-note.com%2Fproduction%2Fuploads%2Fimages%2F43478921%2Fpicture_pc_98ce7446417c6a1b618d3d5f3c51d4da.png)
こんにちは佐々木です。 誰に望まれた訳でもないですが、データ分析基盤の設計シリーズの第三弾です。今回のテーマは、データ分析基盤における個人情報＆パーソナルデータの扱いについてです。ここを最初に考えておかないと、データ分析基盤は毒入りとなって、扱いづらいものになります。 データ分析基盤構築の肝は、データレイクとDWHの分離 - NRIネットコムBlog データレイクはRAWデータレイク・中間データレイク・構造化データレイクの３層構造にすると良い - NRIネットコムBlog 個人情報＆パーソナルデータと匿名加工について まず最初に個人情報＆パーソナルデータの定義と匿名加工について、サラッと確認しておきましょう。 個人情報＆パーソナルデータ 個人情報とは、任意の一個人に関する情報であり、かつその情報をもとに個人を特定できるものを指します。代表的な個人情報としては、名前・住所・電話番号・E-ma
先日日本語訳版が発表されたばかりの OWASPアプリケーション検証標準 バージョン4（以下ASVS v4)を用いて、 Webアプリケーションセキュリティの評価をサービスに対して実施した感想などについて記載します。 ASVS v4は非常に包括的なWebアプリケーションセキュリティの評価ガイドラインです。 それこそ「エンジニア研修でまず最初に読もう！」と推進したくなるほど多角的に記載がされています。 どのぐらい包括的であるかについてですが、開発体制・ログ・認証・ログインフォームの設計・総当たりに対するアカウントロックの時間・GraphQLにおけるセキュリティなど、とにかく盛りだくさんな記載がされています。 すべてのエンジニアにとって必読の ASVS v4 こんにちは、佐分基泰と申します。 16年の新卒として入社し、サーバサイド -> 脆弱性診断士を経て、 現在はOSS Libraryセキュリテ
○注目を集める防衛研究所の「専門家」たち ロシアのウクライナ侵攻の問題で、防衛省防衛研究所の研究者がメディアに登場し、軍事、国際関係、安全保障などの様々な側面から解説を行なっている。防衛研究所に在籍したものとして、かつての同僚などがあのような形で活躍していることは非常に嬉しい。特定の個人名を出すと、それ以外の、素晴らしい研究を行なっているのに、ここで名前を出さない人が活躍していないかのように受け取られるため、あえて漠然と全体を指して、その活躍を全体の中で評価したい。 防衛研究所がここに至るまでには、長い歴史がある。それは、軍事・安全保障論や、国際関係論が日本でどのように扱われてきたか、という歴史そのものかもしれない。また、政策研究という分野が、日本国内で成熟しきれない原因は、防衛研究所と日本の論壇との関係を辿ると、その一部は理解できると思う。さらに、大学と防衛研究所の関係では、今日でも緊張
本日、韓国産業通商資源部から、12日に開催された事務的説明の内容や、その後のメールの送受信などのやり取りについて、再度、事実誤認を含め、記者説明が実施されましたので、事実関係をお知らせいたします。 1．日本の運用見直しの性格について 今回の運用見直しは、国際合意に基づいた輸出管理の不断の見直しの一環として、従来韓国に対して実施してきた優遇措置をやめて、他国と同様の通常の輸出管理上の扱いに戻す内容であり、禁輸措置ではありません。 2．7月12日の事務的説明の内容について 7月12日の会合は見直しの内容を事務的に説明するための場であり、輸出管理当局間の協議の場ではないことを事前に韓国側と合意した上で開催しました。また、冒頭から面談の位置づけだけで30分も議論し、その位置づけを確認して開始しました。 韓国側からは「遺憾の表明、原状の回復と撤回の要請」ではなく、「問題解決」の要請があり、日本側から
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティの入門として、主に Web アプリケーションを対象にした脆弱性の発見・報告・報酬金の取得について紹介します。 1. 始めに 免責事項 想定読者 筆者のバックグラウンド Start Bug Bounty Bug Bounty JP Podcast 2. バグバウンティとは バグバウンティプラットフォーム Program Type Private Programs VDP (Vulnerability Disclosure Program) Asset Type 3. プログラムの選び方 Scope OoS (Out of Scope) 4. 脆弱性の探し方 (初期調査編) Subdomain Google Dorks Wayback Machine Wappalyzer JS Analyze [Blog] Java
Webサービスにおけるファイルアップロード機能の仕様パターンとセキュリティ観点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上です。セキュリティ・キャンプ卒業後、新卒入社組としてFlatt Securityでセキュリティエンジニアをしています。 本稿では、Webアプリケーション上で実装される「ファイルアップロード機能」の実装パターンをいくつか示し、「開発者が設計をする上で気をつけるべき脆弱性」とその対策について解説していきます。 「ファイルアップロード機能」の脆弱性は特定の言語やサービスによって発生する脆弱性だけでなく、特定の拡張子のファイルでのみ発生する脆弱性など非常に多岐にわたります。そのため、本稿では全ての脆弱性を網羅する事は目的としておりません。しかし、「ファイルアップロード機能」のセキュリティについて考えるための基本となる知識と対策観点を本記事で知って、今後の開発に応用していただければ幸いです。 はじめに ファイルアッ
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの山川です。 多くのWebサービスにおいて、ブログ記事やドキュメントの公開・下書き共有のためにURLを発行する機能が存在していると思います。このようなURLに関して、第三者に知られたくない場合「推測不可能なURL」を発行するといったセキュリティ観点は広く知られているかと思いますが、それ以外にはどのような観点が存在しているでしょうか。 本稿では、Webサービス上で発行されるURLに関して「どういったセキュリティの観点があるか」や「脆弱性・リスクに対する対策」についていくつかのパターンを前提に解説します。 はじめに 前提 機能一覧 セキュリティ観点 パターン1: URLが推測可能かつアクセス制御に不備がある場合 連番になっている 日付が入っている 単純な値を用いて変換されたハッシュ値 パターン2: URLが推測不可
【PDF公開】LINEが削除隠蔽した自治体向けワクチン接種予約システムプレゼン資料｜うさぎますく｜note
そもそもLINEの数多くの虚偽・不誠実・非倫理的な行為が明るみになったのは2021年3月17日の朝日新聞の第一報に始まる不祥事報道が発端です。 以下の記事で報道直後3月17日同日にLINE社が全国の自治体関係各位向けに発信した資料は全文公開しています。その文書の説明内容は後日虚偽であったとLINEが認め、3月23日の記者会見で社長が謝罪するに至りました。 実はその文書とは別に、記者会見直後にLINEがなぜか急に削除しその存在の隠蔽を図った自治体向けワクチン接種予約システム提案資料の存在があるのです。 なぜLINEは突如その資料を削除したのでしょうか？ ※全文無料で公開しますが、資料確認など調査の手間や時間がかかりましたので、よろしければご支援歓迎です。 【PDF】LINEが削除隠蔽したワクチン接種予約システム資料本件の社会的な影響力と公益性を鑑み、PDFデータを公開致します。 「ワクチン接
Cloudflareのcdnjsにおける任意コード実行
はじめに(English version is also available.) cdnjsの運営元であるCloudflareは、HackerOne上で脆弱性開示制度(Vulnerability Disclosure Program)を設けており、脆弱性の診断行為を許可しています。 本記事は、当該制度を通して報告された脆弱性をCloudflareセキュリティチームの許可を得た上で公開しているものであり、無許可の脆弱性診断行為を推奨することを意図したものではありません。 Cloudflareが提供する製品に脆弱性を発見した場合は、Cloudflareの脆弱性開示制度へ報告してください。 要約cdnjsのライブラリ更新用サーバーに任意のコードを実行することが可能な脆弱性が存在し、結果としてcdnjsを完全に侵害することが出来る状態だった。 これにより、インターネット上のウェブサイトの内12.7
Amazon EC2 におけるセキュリティ(脆弱性)事例 - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、Amazon EC2 上で動く Web アプリケーションの脆弱性によって脆弱性攻撃が可能だった実際の事例について紹介します。 1. 始めに 2. Amazon EC2 におけるセキュリティリスク Amazon EBS 被害があった公開事例 3. Amazon EC2 で起こりうる脆弱性攻撃 SSRF が可能な脆弱性 SSRF における回避方法 4. Amazon EC2 の脆弱な報告事例 画像読み込み機能に潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 SAML アプリケーションに潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 Webhook 機能に潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 Webhook 機能に潜む SSRF を悪用した EC2 のクレデ
2023年8月28日、日本国内に設置されている通信機器（ルーター）のログイン画面が改ざんされたみられる事案が発生しました。通信機器の脆弱性を悪用した攻撃を受けたものとみられ、既に攻撃に必要な情報もSNS上で出回っており、開発元やセキュリティ機関が利用者に対し至急の対応を呼びかけています。ここでは関連する情報をまとめます。 改ざんされたままとみられる機器多数 改ざんされた画面は黒地の背景に変更され、赤文字で攻撃者による主張文とみられる文字列 *1が埋め込まれたものが確認されている。被害機器のログイン画面には「SkyBridge」と記載されており、これはセイコーソリューションズ製のLTE対応ルーターSkyBridgeとみられる。 同様の改ざん被害にあった端末の件数は約1500台と報じられている *2 他、Shodanで確認できるものは8月31日時点でも約400台。 改ざんされたとみられる機器の
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"
村田製作所は8月5日、会計システムの更新を委託していた日本アイ・ビー・エムの再委託先であるIBM中国法人の社員が、約7万2000件の情報を不正に取得していたと発表した。社員は業務用PCから無断でデータを取得し、中国国内のクラウドサービスを使って個人アカウントにアップロードしていたという。既にデータは削除されており「情報の悪用は確認されていない」としている。 流出したのは取引先情報3万555件（会社名・住所・氏名・電話番号・メールアドレス・銀行口座）と従業員の関連情報4万1905件（従業員番号・所属会社名・氏名・メールアドレス・銀行口座）。それぞれ日本国内だけでなく、中国やフィリピン、シンガポール、アメリカ、欧州連合の取引先や従業員の情報が含まれるという。 村田製作所は業務効率化のため、従業員の給与や取引先への代金の支払いに使用する会計システムの移行を日本アイ・ビー・エムに委託。システムに反
このブログはこんな方におすすめ 緊急対応の初動を早めたい リモートワーク中心になり、緊急対応中の作業分担や進捗確認が難しい Google Apps Script で緊急対応時の Slack 操作を自動化してみた の Python 版がほしい 2021年6月11日に以下のセッションに登壇しました。本ブログでは登壇中に紹介するとお伝えした関数をご紹介します。また背景についても改めて少し記載しています。 業界特化事例紹介セッション SIer編 | Slack はじめに クラスメソッドでは Slack API を活用することで、いくつかある緊急対応の初動が約30分早くなりました。 では、どのように活用して初動対応を迅速化したのでしょうか。 本ブログでは、クラスメソッドの緊急対応の一つである、AWS 不正利用対応を例に紹介します。 AWS 不正利用とは、AWS アクセスキーの漏洩などが原因で発生しま
デジタル社会推進標準ガイドライン｜デジタル庁
デジタル社会を実現するためには、「共通ルール」の下で関係者が協働し、価値を生み出すことが重要です。 デジタル社会推進標準ガイドライン群は、サービス・業務改革並びにこれらに伴う政府情報システムの整備及び管理についての手続・手順や、各種技術標準等に関する共通ルールや参考ドキュメントをまとめたものです。 各ドキュメントの位置づけには、次の2種類が存在します。 標準ガイドライン（Normative）：政府情報システムの整備及び管理に関するルールとして順守する内容を定めたドキュメント実践ガイドブック（Informative）：参考とするドキュメントこれまでは、「デジタル・ガバメント推進標準ガイドライン群」という名称で各種ガイドラインを策定しておりましたが、デジタル庁として政府内部だけでなく社会全体のデジタル化を推進するという観点から、これらのドキュメント体系の名称について「デジタル社会推進標準ガイド
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ITに強いはずのハイテク企業で、1億人超の個人情報が流出…… 「新技術こそ優れている」という思い込みが招いた大規模事件
ロギングベストプラクティス - kawasima
ログ消去もされていた三菱電機の不正アクセスについてまとめてみた - piyolog
ロシアに侵略されてるウクライナに住んでる日本人の日常と心情 | 何丘ブログ
クックパッドの在宅勤務環境 - クックパッド開発者ブログ
IPA情報セキュリティ10大脅威 知っておきたい用語や仕組み2023年5月.pdf
マイナンバーカード未取得者 約8000万人に申請書発送へ 総務省 | マイナンバー | NHKニュース
NTTコミュニケーションズは裏口も攻められた - Fox on Security
[社内資料公開]営業向けAWSセキュリティ勉強会 | DevelopersIO
セキュリティ相談を受けたときに引用したい記事集(WIP) - Qiita
政府情報システムにおける 脆弱性診断導入ガイドライン
Amazon S3の脆弱な利用によるセキュリティリスクと対策 - Flatt Security Blog
中国10億人分 携帯番号や犯罪歴など含む個人情報 流出か | NHK
ジャニーズ性暴力疑惑とメディア 元文春記者に聞く、23年間の絶望：朝日新聞デジタル
credentialをSlackに書くな高校校歌 - freee Developers Hub
「ジャニーさんから性被害」元ジャニーズJr.会見 「未遂」証言も：朝日新聞デジタル
[怪談]VirusTotal沼のお話（対策含）｜__aloha__
データ分析基盤における個人情報の扱いについて - NRIネットコムBlog
今一番アツいWebセキュリティガイドラインOWASP ASVS v4でリスク評価した話
防衛研究所の役割について（佐藤丙午） - エキスパート - Yahoo!ニュース
本日の韓国産業通商資源部による記者説明について （METI/経済産業省）
バグバウンティ入門(始め方) - blog of morioka12
「推測不可能性」だけで安心？セキュアなURL生成について考える - Flatt Security Blog
1500台被害と報じられた国内通信機器の改ざんについてまとめてみた - piyolog
AIの無断学習、日本の著作権法ではOK 侵害にあたるケースは：朝日新聞デジタル
村田製作所、再委託先が7.2万件の情報を不正持ち出し IBM中国法人の社員が個人用クラウドにアップロード
Python で緊急対応時の Slack 操作を自動化してみた | DevelopersIO