Amazon Inspectorに新しいルールパッケージが追加されてEC2インスタンスに対するネットワークアクセス制御を評価できるようになりました。 ｜ DevelopersIO
Amazon Inspectorに新しいルールパッケージが追加されてEC2インスタンスに対するネットワークアクセス制御を評価できるようになりました。 はじめに 中山（順）です Amazon Inspectorに新しいルールパッケージ "Network Reachability-1.1" が追加されました。 Amazon Inspector Launches Agentless Network Assessments A simpler way to assess the network exposure of EC2 instances: AWS releases new network reachability assessments in Amazon Inspector 従来は侵入テスト申請を実施した上でポートスキャンを実行したり、机上でネットワークアクセス制御の設定を評価する必要が
IAMベストプラクティスとAWSセキュリティチェックリストにinsightwatchで対応する方法 | DevelopersIO
「IAMベストプラクティス」には、AWSが提供するIAMの設定や運用に関するベストプラクティス、「AWSセキュリティチェックリスト」には、AWSリソースのセキュリティを確保するために必要な項目が記載されています。 セキュリティ監査サービス「insightwatch（インサイトウォッチ）」では、「IAMベストプラクティス」と、「AWSセキュリティチェックリスト」に記載された項目を自動でチェックする事ができます。 はじめに IAM等のAWSサービスは非常に柔軟な設定ができる反面、ちょっとした見落としからセキュリティホールとなる可能性があります。 そのようなリスクを回避するためのガイドラインとして「IAMベストプラクティス」と、「AWSセキュリティチェックリスト」があります。 IAM のベストプラクティス AWSセキュリティチェックリスト 「IAMベストプラクティス」には、AWSが提供するIAM
AWSを使うときに確認すべき52のセキュリティチェック項目と15分でできる簡単なチェックの方法｜DevelopersIO
はじめに 自分が使っているAWS環境のセキュリティに問題がないかと心配になることはないでしょうか？私はよくあります。そこでCIS Amazon Web Service Foundations Benchmark というAWSのセキュリティのガイドラインに沿って使っているAWSアカウントのセキュリティの状況をチェックしてみました。チェック項目は全部で52あります。内容を一通り確認したところ知らなかったAWSのセキュリティの機能やノウハウを知ることができ、見ただけでもとても勉強になりました。簡単にチェックする方法も併せて紹介しますのでぜひ使っているAWS環境でチェックしてみてください。 1 IAM 1.1 rootアカウントを利用しない rootアカウントは強力な権限を持つため、rootアカウントを利用せずIAMユーザーを利用してください。通常運用でrootアカウントが利用されていないか確認し
セキュリティ分野における注目OSSとは？─OSS鳥瞰図【第5回】 | IT Leaders
IT Leaders トップ ＞ テクノロジー一覧 ＞ OSS ＞ OSSを理解する ＞ セキュリティ分野における注目OSSとは？─OSS鳥瞰図【第5回】 OSS OSS記事一覧へ [OSSを理解する] セキュリティ分野における注目OSSとは？─OSS鳥瞰図【第5回】 2017年6月14日(水)中村 雄一（日本OSS推進フォーラム クラウド技術部会） リスト IT Leadersは2012年5月にオープンソースソフトウェア（OSS）のカオスマップ「OSS鳥瞰図」を作成・公開した。様々あり多岐にわたるOSSを鳥の目で俯瞰的に理解できるように、という意図で作成したものだ。しかしOSSの進化は急ピッチである。そこに問題意識を持った日本OSS推進フォーラム クラウド技術部会が完全リニューアルし、「OSS鳥瞰図2017年α版」を作成した。今回はセキュリティにスポットを当てる。 オープンさとセキュリテ
Dockerコンテナの保護 | Deep Security
Docker環境の導入にはメリットがあるのはもちろんですが、同時にDockerホストのOS自体が攻撃の対象になることに注意が必要です。他のソフトウェアの導入同様に、OSの強化や環境に応じたベストプラクティス (Center for Internet Security (CIS) のDocker Benchmarkなど) を利用することで、最初に強固な基盤を構築することが重要になります。安全な基盤を構築したら、環境にDeep Securityを追加して、物理、仮想、およびクラウドのワークロードを保護するトレンドマイクロの豊富な経験や、Trend Micro Smart Protection Networkのリアルタイムの脅威情報を活用できます。Deep Securityは、環境の保護だけでなく、継続的なコンプライアンス要件への対応と維持にも役立ちます。このように、Deep Securityは
Dockerコンテナのセキュリティと仮想マシン対ベアメタルの議論
英国のIT専門媒体、「The Register」とも提携し、エンタープライズITのグローバルトレンドを先取りしている「The Next Platform」から、＠IT編集部が独自の視点で“読むべき記事”をピックアップ。プラットフォーム3へのシフトが急速に進む今、IT担当者は何を見据え、何を考えるべきか、バリエーション豊かな記事を通じて、目指すべきゴールを考えるための指標を提供していきます。 新しい技術では、何度も同じことが繰り返されている。開発者がコードを書いて新しいものを生み出し、それが実験としてデプロイされる。オープンソースプロジェクトなら、それが世界で共有される。その有用性が理解されるとともに、特定の問題解決に熱心に取り組んでいる多くの人がDIYで使い始め急速に導入が進む。すると大企業や中堅企業が興味を持ち、それに伴ってセキュリティが問われるようになる。 「野菜を食べて大きくなりなさ
MSとAWSのクラウド製品、米連邦政府のFedRAMPで最高レベルのセキュリティ認証を取得
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます MicrosoftとAmazonはそれぞれ米国時間6月23日に、自社の政府機関向けクラウド製品が、米連邦政府によるFederal Risk and Authorization Management Program（FedRAMP）で最高レベルのセキュリティ認証を取得したと相次いで発表した。 Microsoftの「Azure Government」とAmazonの「AWS GovCloud」はいずれも、FedRAMPのHigh Impact Baseline（高レベルのベースライン要件）におけるProvisional Authority to Operate（P-ATO）認証を、その認定委員会から取得した。これはFedRAMPにおける最高
「セキュリティはコストでなく投資」、経産省がガイドラインを改訂
企業や組織でのセキュリティ対策の取り組み事項を記した「サイバーセキュリティ経営ガイドライン」が改訂され、「セキュリティは投資」と明記された。 経済産業省と情報処理推進機構（IPA）は12月8日、企業や組織でのセキュリティ対策の取り組み事項を記した「サイバーセキュリティ経営ガイドライン」の改訂版（Ver 1.1）を発行した。改訂では「経営戦略としてのセキュリティ投資は必要不可欠かつ経営者としての責務である」と新たに明記された。 同ガイドラインは、企業や組織の経営者向けにサイバーセキュリティへの取り組みを促す目的で、2015年12月に初版が発行された。経営者が認識すべきとする「3原則」と、経営者が情報セキュリティ担当者に指示すべき「重要10項目」（中小企業向けには7項目）で構成されている。
WordPress にバックドア仕掛けられないように... - dogmap.jp
いくら気をつけていても、不幸にして WordPress にバックドアを仕掛けられることは往々にしてあるものです。 重要なのは日々のアップデートと監視なのですが、間に合わずにやられちゃってバックドア仕掛けられることもあるでしょう。 先日リリースされた WordPress 4.5.2 でも結構重めの XSS 脆弱性の報告と修正が行われましたね。 WordPress 4.5.2 セキュリティリリース そんなわけで、ひさ～しぶりのブログはバックドア仕掛けられないようにする防衛策とソースが改変された時の対応策です。 バックドアを仕掛けられる前の防衛策 不要な php ファイルにアクセスさせない WordPress のバックドア仕掛けてくるやつの手順として多いのが、メディアアップロード機能の脆弱性とかを利用して wp-conten/uploads/ 以下に php ファイルを置いていき、そのファイルに
あなたのサーバは本当に安全ですか？今もっともイケてる脆弱性検知ツールVulsを使ってみた - Qiita
はじめに サーバ管理をしている身としては、 セキュリティ は常に付きまとう悪魔みたいなもので、このセキュリティに関しては何をどこまで頑張ればいいのか不透明な部分が多い。 脆弱性に関しては、CVEなど、毎日情報は入ってくるが、それがどのサーバの何に関連したものなのかなんていちいち調べてられないし、どの脆弱性がすぐに対応しなければいけないもので、どの脆弱性があとあと対応すればいいものなのかなんてわからない。 実際のところ、大きな話題になった脆弱性くらいしか緊急で対応してないという人は多いのではないかと思う。 そんな中、満を持して登場したのが vuls !! 各サーバの脆弱性情報を取得して、個々のサーバそれぞれでどんな脆弱性があり、どのくらいやばい脆弱性なのかを検知できるようになった！ 今回はこのvulsを紹介します。 Vulsとは 公式でロゴが発表されたので、差し替えました 公式ドキュメント:
「セキュリティインシデント対応人材」のあるべき姿――求められる「先読み力」とは
「セキュリティインシデント対応人材」のあるべき姿――求められる「先読み力」とは：セキュリティ教育現場便り（3）（1/3 ページ） 筆者の経験を基に、本当に必要なセキュリティ教育について考える本連載。3回のテーマは「情報セキュリティ事故（インシデント）対応」です。インシデント発生時の混乱した状況に適切に対処するための担当者の役割、あるべき姿について考えます。 連載目次 コンピュータウイルス感染やWebサイトの改ざん被害など、情報セキュリティ事故のニュースが相次いで報道されています。最近では、コンピュータウイルスを利用したPCの遠隔操作により、ネットワークの奥にあるデータを盗み取られるような被害も出ています。 組織において情報セキュリティ事故（インシデント）が起きた場合、「対外対応」の他、「被害の最小化」や「再発防止」にも取り組む必要があります。事故対応を適切に行うためには、インシデント対応マ
AWS Solutions Architect ブログ
AWS Key Management Service (AWS KMS)は2015年11月のローンチからめでたくも1周年を迎え、あらゆる大きさの組織が自身の暗号鍵を効果的に管理しています。KMSはまた最新(2015年8月)の SOC アセスメントと同様にPCI DSS 3.1 Level 1アセスメントを無事完了しています。 お客様によく頂く質問の一つとして、「どうやってカード会員番号(PAN:Primary Account Number)データを暗号化すればいいですか？」というものがあります。お客様はKMSからエクスポート可能なカスターマーデータキー(CDK)を使ってPANデータを暗号化することもできますし、カスタマーマスターキー(CMK)を利用してPANデータを直接暗号化する形でKMSを利用することも出来ます。この記事では、AWS CLIを通じてKMSでCMKを使ってどのようにしてセン
AWS News Blog
Top Announcements of the AWS Summit in New York, 2023 It’s probably no surprise that generative artificial intelligence and machine learning were the stars of the show, but there were several other bright lights from the day-long cloud conference. New Seventh-Generation General Purpose Amazon EC2 Instances (M7i-Flex and M7i) Today we are launching Amazon Elastic Compute Cloud (Amazon EC2) M7i-Flex
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
アリスとボブはパスワードつきzipをメールに添付したりしない - 暗号技術入門を読んだ - - だいくしー(@daiksy)のはてなブログ
パスワードつきzipの添付メールと鍵配送問題 ボブのもとに届けられたアリスからのメール。このメールにはzipファイルが添付されていて解凍にパスワードが必要だ。このパスワードは、添付ファイルの後、アリスから別のメールに記載されて送られてくる。この手順により、最初のメールをイブが盗聴したとしても、イブはパスワードを知らないので添付ファイルを解凍することはできない。 一見すると安全に情報をやりとりしているようにみえるこの形式は、実はまったく安全ではない。ファイルが添付されている最初のメールが盗聴できるのであれば、当然イブは次に送られるパスワードが記載されたメールも盗聴できるからだ。 zipに施されるパスワードの強度はとりあえず気にしないこととして、この情報のやりとりは暗号におけるとても重要な問題をないがしろにしている。それは鍵配送問題と呼ばれる。 暗号の中には、かなり早い段階で「絶対に解読不可能
人気のスラックが問う日本人の基本動作の欠如：日経ビジネスオンライン
シリコンバレーで会議に出席する機会があれば、自分より前に座っているほかの出席者が、パソコンやタブレットを開いてどんな「内職」をしているか、ちょっと見渡してみると面白い。数年前はツイッター系のアプリを開いている人が多かったが、最近は、あずき色の枠で縁取られたサイトやアプリを開いている人を多く見かけるはずだ。 それが、噂のスラック（Slack）である。どう噂かというと、売り上げマルチプル（企業評価額が年間売り上げ額の何倍か）という「ベンチャーの人気指標」で、前回に紹介した三冠王、米配車アプリ大手のウーバーテクノロジーズに迫っており、この2社がほかをダントツに引き離している、ということだ（出所はこちら）。 スラックが提供している社名と同名の企業向けビジネスチャット「スラック」は、メッセージベースのチーム・コラボレーション・ツールである。カタカナばかりで申し訳ないが、漢字にしたらますます意味不明に
Amazon LinuxへのsshをGoogle Authenticatorを用いて二段階認証にしてみた | DevelopersIO
はじめに こんにちは植木和樹＠上越妙高オフィスです。今日はAmazon Linuxへのsshログイン時におけるセキュリティ強化のお話です。 AWS運用チェックリストではOSにログインする際のユーザーは共有せず、個人ごとにOSアカウントを作成することが推奨されています。 これからAWSを始める人は一読すべき「AWS運用チェックリスト」を読んでみた ｜ Developers.IO 個人ごとにOSアカウントを作成すれば、いつ誰がそのサーバーにログインしたのか分かるので不正な操作が行われた際のトレースに役立ちます。 しかし仮にパソコンが盗まれる等で秘密鍵が盗まれてしまった場合を想定し、さらにもう一段階、その人のみが持っているものを用いなければサーバーにログインできない仕掛けを作ってみます。これを2段階認証といいます。今回は 1.個人のssh鍵ファイル ＋ 2.スマホに表示されるワンタイムパスワード
標的型攻撃対策の「虎の巻」、ラックが無償公開
ラックは2015年7月28日、標的型攻撃対策の指南書「標的型攻撃 対策指南書（第1版）」を無償公開した（公開サイトへのリンク）。 一般企業や地方公共団体の経営者、事業責任者、IT技術者を対象に40ページでまとめたもの。「これまでも公的機関がセキュリティ指南書を公開する例はあったが、一般企業にはやや重い内容だった。今回は、民間セキュリティ企業として項目を絞って作成した」（ラックの西本逸郎取締役）。同社は今後、より対象企業・団体を絞った個別指南書を作成し、2015年8月25日に公開する。 ラックはあわせて、西本取締役が指揮を執る社長直下の専門組織「標的型攻撃対策本部」を設置する。「今は、国レベルの組織が企業や公的機関にサイバー攻撃を仕掛けるような、事実上の戦争状態。日本の標的型攻撃対策本部、という意気込みで取り組みたい」（西本氏）。指南書の公開に加え、指南書に基づいて各地域でセキュリティサービ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
企業（エンタープライズ）向けクラウド選び ５つのポイント
TechCrunch | Startup and Technology News
