AWS Security HubとSlackを利用して、セキュリティ状況の監視運用を効率化したお話 - Uzabase for Engineers
はじめに 初めまして！ソーシャル経済メディア「NewsPicks」SREチーム・新卒エンジニアの樋渡です。今回は「AWS Security Hub」と「Slack」を用いて、弊社で利用しているAWSリソースの監視運用を効率化したお話です。 お話の内容 年々増加するサイバー攻撃に対抗するため、セキュリティ対策は日々重要度が増してきています。 そこで弊社で利用しているAWSのリソースに対して、各種セキュリティイベントの収集ができるAWS Security Hubを利用することで、セキュリティ状態の可視化と迅速な対応がしやすい運用を行い、セキュリティ状態の現状把握から始めることにしました。特にNIST CSFの「検知」部分の運用について整備した内容となっています。 NIST Cyber Security Frameworkについて 皆さん、「NIST Cyber Security Framewo
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
セキュリティエンジニアを3年続けて分かったおすすめ勉強法
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
Google、Cloudflare、Amazon、 HTTP/2悪用の史上最大規模DDoS攻撃について説明
現在、Webアプリの約60％がHTTP/2を採用しているという。 新たな攻撃は、何十万ものリクエストを作成し、すぐにキャンセルすることで機能するとCloudflareは説明した。リクエスト／キャンセルのパターンを大規模に自動化することでWebサイトを停止に追い込む。 3社は、HTTP/2を採用するプロバイダーに対し、可能な限り早くセキュリティパッチを適用するよう呼びかけた。 クライアントによるこの攻撃への最善策は、利用可能なすべてのHTTPフラッド保護ツールを使用し、多面的な緩和策でDDoS耐性を強化することだとしている。 Cloudflareは、8月の攻撃について今報告するのは、「可能な限り多数のセキュリティベンダーに対応の機会を与えるため、情報を制限してきた」と説明した。 HTTP/2 Rapid Reset Attackの詳しい説明などは、以下の「関連リンク」の各社の公式ブログを参照
不正・横領は自分に関係のないことじゃないって話｜ANRI
ANRI元島です。一部上場企業で経理をやってました。 言えないあれこれも経験してきましたが、色々な方と話しているとどうやら不正などは自分や自分の会社とは無縁、と思っていらっしゃる方も多いようなので、そうじゃないよ、誰にでも起こり得るよ、ということ、そして体制構築はメンバーや自分を守ることでもあるよ、ということをお伝えできればと思います。 スタートアップと不正ディープテックスタートアップには苦い経験があります。 調達額とほぼ同等の金額が不正の対象となったエルピクセルの事件です。関係者も知り合いが多くこするようで申し訳なさもあるのですが、最近起業された方々はご存じないということが判明したのであえて書きます。以下のことがわかります。 大型の調達をして体制が整っていると思われるスタートアップでも起こってしまう 投資家が取締役に入っていても簡単にはわからない 国の研究費を受けており、そういった機関の
Cloud One File Storage Securityを使ってS3にアップされたマルウェア、異常ファイルをチェックしてみた (処理編) | DevelopersIO
こんにちは、コンサル部＠大阪オフィスのTodaです。 Trend Micro社が提供するCloud Oneには7点のサービスが存在します。 今回はクラウドストレージのファイルチェックが出来るFile Storage Securityを操作してみました。 前回、File Storage Security(以降C1FSS)の導入をおこない実際のオブジェクトスキャンを実行してみました。 C1FSSはスキャンを完了した際に、バケットのタグにスキャン結果が記録される仕組みになるため異常ファイルのパブリック公開の停止やバケットの移動は別で準備する必要があります。 今回は2点を検証してみます。 事前の準備 チェックで利用するS3は事前にパブリックアクセスを許可しています。 異常ファイルのパブリック公開停止 オブジェクトスキャンにて異常ファイルの判定を受けた場合、オブジェクトタグ:fss-scan-res
Cloud One File Storage Securityを使ってS3にアップされたマルウェア、異常ファイルをチェックしてみた (導入編) | DevelopersIO
こんにちは、コンサル部＠大阪オフィスのTodaです。 Trend Micro社が提供するCloud Oneには7点のサービスが存在します。 今回はクラウドストレージのファイルチェックが出来るFile Storage Securityを試してみました。 File Storage Securityとは？ File Storage Security(以降C1FSS)はクラウドストレージにアップロードされたファイルをスキャンして不正なプログラム等が埋め込まれていないかチェックをする事が可能です。 ファイルはBIN,EXE,JPEG,MP4,PDF,TXT,ZIPなど幅広いファイルに対応しておりTrend Micro社のウィルス検知の技術により保護することが可能です。 導入は簡単で、用意されているCloudFormationを導入する事で必要なLambda,SQS,SNSが準備されます。 S3単体に
セキュリティエンジニアが本気でオススメする開発者向けコンテンツ 20選 - Flatt Security Blog
画像出典: 書籍...記事中に掲載した販売ページ / Webサイト...スクリーンショット はじめに こんにちは。株式会社Flatt Securityの @toyojuni です。 突然ですが、弊社Flatt Securityは「開発者に寄り添ったセキュリティ」を標榜しています。Webアプリケーションなどに脆弱性がないか調査する 「セキュリティ診断」 においても、セキュアコーディング学習プラットフォーム 「KENRO」 においても、いかに開発者フレンドリーなサービスを提供できるかという点を大事にしています。 そんな弊社はお客様からさまざまな開発におけるセキュリティのアドバイスを求められることも多いのですが、その中で「開発に役に立つセキュリティ」という切り口では、なかなかまとまっているリファレンス集がないという課題に気付かされました。 そこで、社内でアンケートを実施して「開発者にオススメのセ
20分で分かるDirty Pipe（CVE-2022-0847） - knqyf263's blog
極限まで詳細を省けば何とか20分で雰囲気だけでも伝えられるんじゃないかと思って書きました。書き終えてから見返したら多分無理なので誇大広告となったことを深くお詫び申し上げます。 背景 概要 脆弱性の影響 ページキャッシュやsplice パイプ マージの可否 下準備 攻撃手順 まとめ 背景 先日Dirty PipeというLinuxカーネルの脆弱性が公表されました。 dirtypipe.cm4all.com Linuxのパイプに関する脆弱性なのですが、仕組みは意外とシンプルでぎりぎりブログでも伝わるかもしれないと思ったので自分の理解を書きました。あといつも細かく書きすぎて長くなるので、今回は雰囲気だけでも伝わるようにとにかく説明を簡略化し、ふわっとした概要だけでも理解してもらえるように頑張りました。その結果、若干正確性に欠ける部分があるかもしれませんがお許しください。細かい部分はまた別の記事でま
Dirty Pipe（CVE-2022-0847）の発見経緯が面白かった - knqyf263's blog
最初に断っておくと今回は万人向けの記事ではないです。面白かったので自分が忘れないようにまとめているだけです。 本記事の位置付け はじめに 発見経緯 CRCのエラー HTTPアクセスログ 壊れたgzipのtrailerを見てみる 壊れたファイルの法則性 月次ログファイルの生成 Linuxカーネルのバグの可能性 バグ混入の歴史 ログ破損の原因 8バイトの謎 PoCの制約 まとめ 本記事の位置付け Dirty Pipe（CVE-2022-0847）三部作の最後です。ダークナイト三部作で言うとダークナイト ライジングにあたります。ダーティとダークって似てませんか。 spliceを使って高速・省メモリでGzipからZIPを作る 20分で分かるDirty Pipe（CVE-2022-0847） Dirty Pipe（CVE-2022-0847）の発見経緯が面白かった（本記事） 上の1, 2を前提知識と
LogJ4 Security Inquiry – Response Required | daniel.haxx.se
On Friday January 21, 2022 I received this email. I tweeted about it and it took off like crazy. The email comes from a fortune-500 multi-billion dollar company that apparently might be using a product that contains my code, or maybe they have customers who do. Who knows? My guess is that they do this for some compliance reasons and they “forgot” that their open source components are not automatic
"security.txt" についてまとめみた
CISSPの継続学習で知ったので忘却録としてまとめました。 security.txtとは security.txtとは、IETFが提唱している、ウェブサイトにセキュリティポリシーやサイトの脆弱性を発見したときの連絡先を記載するための標準で、robots.txt、ads.txt、humans.txtと同じようにテキスト形式で記載します。 投稿当時（2021/10/22）では、第12版のドラフトまで完成していますが、近くRFC化される見込みです。 (2023/11/1:更新) RFC 9116としてRFC化されました。 設定の効果 独自開発したWebサイトなどの脆弱性（XSSやSQLインジェクション等）の報告先を独自に設定することができます。したがって、いままでJPCERT/CCなどに報告する必要がある情報を作り手に直接連絡できるため、スピード感がある対応できると見込まれています。 ただし、表
GMOペパボのエンジニア研修2021の資料を公開します - Pepabo Tech Portal
はじめに 今年のエンジニア研修の担当をしたkurotakyとtokkyです。ペパボのエンジニア研修2021がはじまっていますという記事を書いてあっという間に時が経ち、先日研修が終わったので研修資料を公開します。各研修の講師からコメントをもらっているので、ぜひ読んでいってください！ 研修を実施するにあたって、専門的な内容を学んでから現場に入る方法や、幅広い技術層に触れてから現場に入る方法など、さまざまなスタイルがあります。ペパボでは最新の技術の幅広く触れてOJTに入っていくやり方を選択しています。それはなぜかというと、GMOペパボのわたしたちが大切にしている3つのことの中で、「みんなと仲良くする」ということ話がありますが、みんなと仲良くするというのは、エンジニアという職種だけでも100人以上になり、そのみんなと仲良くするのは実際は結構難しいと思います。過去にCTOのあんちぽさんが2017年の
図解即戦力 暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書
この本の概要 テレビ会議やリモートワークが普及する中，情報を守る暗号や本人確認のための認証技術の重要性が増しています。本書は公開鍵暗号や署名などの理論を基礎から詳しく解説し，TLS1.3やHTTP/3，FIDOなどの新しい技術も紹介します。更にブロックチェーンで注目されている秘密計算，ゼロ知識証明，量子コンピュータなど最先端の話題も扱います。 こんな方におすすめ 暗号と認証の基礎を学習したい人 Web担当者やセキュリティ担当者など 1章 暗号の基礎知識 01 情報セキュリティ 情報セキュリティの三要素 情報セキュリティと暗号技術 利便性とコスト 追加された要件 02 暗号 暗号とは よい暗号と使い方 暗号の動向を知る 03 認証 パスワードによる認証 パスワード攻撃者の能力 パスワードの攻撃手法 認証の分類 認可 OAuth 04 古典暗号 シフト暗号 換字式暗号 符号化 2章 アルゴリズ
警察庁内端末不正アクセスと5万件の脆弱なVPNホストの公開についてまとめてみた - piyolog
警察庁は2020年11月27日、庁内の端末が1年以上前から不正アクセスを受けていたことを発表しました。また同時期に公開された脆弱なVPN機器リストについても併せてここでまとめます。 VPNのパスワードが漏れた可能性 不正アクセスが確認されたのは警察庁情報通信局のノートPC1台。業務物品の手配を行う専用端末として利用されていたもの。 ノートPCは他のシステムとは接続されておらず、警察庁は情報流出の可能性は低いと判断。不正アクセスが行われたタイミングでは端末に情報保管を行っていなかった。 複数のIPアドレスから2019年8月から2020年11月中旬まで合計46回の不正アクセスが行われていた。*1 ノートPCからインターネット接続を行う際にVPN機器を利用。このVPNのパスワードが第三者に利用された可能性がある。*2 警視庁からの情報提供を受け発覚 2020年11月25日に警視庁から「不正アクセ
プライベートサブネット上の EC2 に対してインターネットから接続できないことを確認したい！？ | DevelopersIO
Amazon Inspector のネットワーク到達可能性のルールパッケージを使って、簡易的に確認してみました。 みなさま Xin chao. Amazon Inspector を活用していますか？ 組織内のセキュリティガイドライン、あるいはそれに類するものの中に、以下のようなチェック項目を見かけることがあります。 「新たなシステムを稼働させる際には、事前にセキュリティ診断を行い、外部 (＝インターネット) から必要最小限の通信のみが許可されていることを確認すること」 インターネットに公開されているサーバーであれば、そのパブリック IP アドレスに対してポートスキャンを行うことにより、不要なポートがオープンになっていないことを確認することができます。 では、もし、対象となるサーバーが、インターネット経由では接続できないサーバーだったとしたら、どうしたらよいでしょうか？ ガイドラインの対象外
WPScan WordPress Security Scanner
WPScan WordPress Security ScannerThe WPScan CLI tool is a free, for non-commercial use, black box WordPress security scanner written for security professionals and blog maintainers to test the security of their sites. The WPScan CLI tool uses our database of 21,907 WordPress vulnerabilities. Install now by running: gem install wpscan The version of WordPress installed and any associated vulnerabil
LINEはAndroidアプリに潜む脆弱性にどう対処したか？ 実際にあった9つの事例を紹介
LINE株式会社が開催する技術者向けミートアップ「LINE Developer Meetup」。第62回となる今回のテーマは「Android」です。セッション「Androidアプリに潜む脆弱性 -LINEの場合-」では、LINE株式会社の玉木英嗣氏が登壇し、すでに修正済みのLINEのAndroidアプリの脆弱性と、それに対してどのような対策を行ったかについて、9つの事例を紹介しました。講演資料はこちら Androidアプリに潜む脆弱性 玉木英嗣氏：はい、よろしくお願いいたします。「アプリに潜む脆弱性 -LINEの場合-」というタイトルでLINEの玉木が発表させていただきます。よろしくお願いします。 始めに自己紹介です。玉木英嗣と申します。2018年4月に入社してからLINE Androidのチャットまわりの機能開発を担当しています。LINEがGitHub上で公開しているAndroid向けの
SOD動画無料配信に「情報流出」報告 会員のメルアドや閲覧履歴が...会社側「調査中」（J-CASTニュース） - Yahoo!ニュース
新型コロナウイルス感染拡大を受け、一部の作品を無料配信していた成人向け動画サービス「SODプライム」で、顧客の個人情報が流出していたことが2020年3月18日、わかった。 運営する「ソフト・オン・デマンド」（東京都中野区）はJ-CASTニュースの取材に、原因は特定できておらず「外部の専門家を交えて調査中」としている。 ■クレジットカード登録が必須 ソフト・オン・デマンドは3月13日、新型コロナウイルスの感染拡大を受け、「自宅待機を応援!! 0円でご利用キャンペーン」を開始した。同社の動画配信サービス「SODプライム」の有料作品約200本を、3月末まで無料配信にすると決めた。 キャンペーン参加には会員登録が必要で、メールアドレスやクレジットカード情報などを登録する必要がある。同社が17日に会員に宛てたメールでは、「平常時よりも20倍程度のアクセスが続いている状態」と説明していた。 問題となっ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Gmailにメールが届かなくなる!? 5月中にやるべき対応策をマンガで教えてください！WACUL安藤健作さんに聞いてきた | Webのコト、教えてホシイの！
