AWSのセキュリティが気になるなら読んでおくべきAWSセキュリティのベストプラクティス - yoshidashingo
cloudpackエバンジェリストの吉田真吾（@yoshidashingo）です。 昨日、DevLOVE現場甲子園2014東日本大会に参加して現場目線でのAWSセキュリティあるある的な話をして来ました。 その際にAWSのセキュリティ全般について知りたい場合に何を読めばいいか質問されたので、こちらで紹介しておきたいと思います。 AWSセキュリティセンター 1. AWSセキュリティ概要 ストレージデバイスの廃棄**の章では、ストレージデバイスが製品寿命に達した場合に、DoD 5220.22-M または NIST 800-88 に記載されている技術を用いてサニタイズを行ってから廃棄されるということが書かれています。 2. AWSセキュリティのベストプラクティス AWSの共有責任モデルを知る (1) Infrastructure servicesにおける共有責任モデル (2) Container
Fast Fluxと Botnet - セキュリティは楽しいかね？ Part 1
スパムメール等で悪意のあるWebサイトにユーザーを誘導する受動型の攻撃で、最近は Fast-Fluxという手法が多く使われているようだ。ICANNからもアドバイザリが出ている。 SAC 025 SSAC Advisory on Fast Flux Hosting and DNS Fast-FluxはサーバのIPアドレスを次々と変えていくことによって、フィッシングなど悪意のあるサイトの存在を隠す働きをもっている。これを具体的にはDNSのTTLを極端に短くする(例えば180sくらい)ことと、Botnetを利用することで実現している。 Fast-Fluxはその形態によって Single-FluxとDouble-Fluxの2種類がある。 Single-Flux WebサーバのIPアドレスだけを変更するタイプ。攻撃に利用するドメインのAレコードを短いTTLでどんどん変えていく。この時、Aレコードに登
HTTPS をランキング シグナルに使用します
+1 ボタン 2 AMP 11 API 3 App Indexing 8 CAPTCHA 1 Chrome 2 First Click Free 1 Google アシスタント 1 Google ニュース 1 Google プレイス 2 Javascript 1 Lighthouse 4 Merchant Center 8 NoHacked 4 PageSpeed Insights 1 reCAPTCHA v3 1 Search Console 101 speed 1 イベント 25 ウェブマスターガイドライン 57 ウェブマスタークイズ 2 ウェブマスターツール 83 ウェブマスターフォーラム 10 オートコンプリート 1 お知らせ 69 クロールとインデックス 75 サイトクリニック 4 サイトマップ 15 しごと検索 1 スマートフォン 11 セーフブラウジング 5 セキュリティ 1
「狙われたら防げない」今どきのセキュリティ事情：日経ビジネスオンライン
今、企業の情報管理の在り方が問われている。先週は、ベネッセホールディングスから最大2070万件もの顧客情報が漏洩し、マスコミで大きく取り上げられた。「ウチの会社は大丈夫か」と、慌てて情報システム部門に調査を命じた企業も多いだろう。 ベネッセのケースでは、データを持ち出したのは、顧客データベースの保守管理を受託している企業に派遣されていたSEだとされている。今後、内部犯行を防止するための仕組みや運用の在り方が議論されることになるだろう。 もう1つ、忘れてはならないのが、外部からのサイバー攻撃の脅威だ。特に、特定の企業や組織から重要情報を盗み出すことを目的にした「標的型攻撃」が、近年、猛威を振るっている。国内では、2011年に三菱重工業が攻撃を受けて話題になって以来、企業や官公庁への攻撃が継続的に報告されている。昨年末には、米小売大手のターゲットが標的型攻撃にさらされ、約4000万人分のカード
SaaS型 継続的WEBセキュリティ診断VAddyの紹介 - cakephperの日記(CakePHP, Laravel, PHP)
PHPカンファレンス関西2014に参加し、LTで5分の発表を行いました。 現在、VAddy(http://vaddy.net)というSaaS型の継続的Webセキュリティ診断サービスを開発していて、そのコンセプトを発表しました。VAddyという名前を初めて外部に公開したことになります。 このサービスの目標は、開発初期からリリース後まで継続的にセキュリティテストを自動で行い、開発者が安心してリリースできる世界を作ることです。CIに組み込んで使うエンジニアのためのサービスです。 リリース直前にセキュリティ検査をして大量に脆弱性が見つかった場合、リリースできなかったり、根本の対応策ができずリリース後に不具合が発生してしまったり、教育するタイミングを失って何度も脆弱性を出してしまったり、という問題を解決できたら良いなと思っています。 共同開発者の金床さんが仕組みを少し解説しているページがあるので、興
LINEのWebMoney詐欺師のIPアドレス判明。なんと日本！
最後の〆のために作った、天安門のページがお蔵入りになってしまって残念です。 IPを調べる こちらが、犯人がアクセスしたアクセスログ。 IPアドレスは126.7.173.196 Windows7で、Chromeを使っている模様。 （HTTPヘッダも取っておけば良かったなぁと反省） 126.7.173.196 - - [02/Jul/2014:22:43:48 +0900] "GET /static/webmoney.html HTTP/1.1" 200 272 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.1 (KHTML, like Gecko) Chrome/21.0.1180.89 Safari/537.1" プロバイダはYahoo BBの様子。 % host 126.7.173.196 196.173.7.126.i
get／postでフォームから送信された値をPHPで受け取る「定義済みの変数」
オープンソースのWeb開発向けスクリプト言語「PHP」の文法を一から学ぶための入門連載「Web業界で働くためのPHP入門」。 今回はPHPならではの機能、フォームの取り扱いについて解説します。厳密にいえば、これは本連載の目的である文法的な範囲の話ではありませんが、PHPを理解する上で欠かせないため、ざっと解説することにします。 HTMLのフォーム機能についておさらい HTMLのフォーム機能については既にご存じの読者も多いと思いますので、ここでは簡単なおさらいにとどめます。フォームとは<form>要素を使って、Webサーバにデータを送信するための、HTMLとWebブラウザ側の仕組みです。 例えば、次のようなHTMLをWebブラウザで表示すると、1つの入力欄と送信ボタンが表示されます。 入力欄に何か入力してボタンを押すと、Webブラウザは指定したURLに対して入力内容を送信します。通常そのUR
セキュリティ担当者の年収UPに資格はモノをいう？
関連キーワード セキュリティ | CIO | 資格 | セキュリティ対策 | スキル 精彩を欠く経済状況や高い失業率にもかかわらず、情報セキュリティ分野はIT業界を志望する求職者にとって希望のよりどころとなっている。情報セキュリティの専門家団体である米（ISC）2などの推計によると、向こう数年間で埋められるべき情報セキュリティ分野の新しいポストは、控えめに見積もっても数十万件に及ぶ見通しという。 だが、能力のある情報セキュリティ担当者が不足している現在、良い仕事やより高い給料を求める人たちにとって、この分野の認定資格は果たしてどれほど重要なのだろうか？ 最新の調査結果によると、「情報セキュリティ担当者の平均給与は増加傾向」にあり、「認定資格は職を見つけたりキャリアを磨いたりするのに役立つ」ようだ。ただし、認定資格の真価については懐疑的な専門家もいる。 関連記事 “セキュ女”育成計画始動――
スラド -- アレゲなニュースと雑談サイト
OSCHINA の方針で 1 月 31 日の閉鎖を予告していたスラドと OSDN だが、一転方針が変更されサーバーを停止せずに受け入れ先を募集することとなった。 これにより、両サイトとも当面はこれまで通りアクセス可能だ。ただし、スラド編集部はアピリッツとの契約で更新作業を続けてきたが、契約は 1 月 31 日で終了となるため、更新に関して本日をもって停止する。なお、保守や管理のために何らかの案内等が更新される可能性はある。 スラドまたは OSDN の受け入れを希望する企業の方は、編集部 (osdn_api@appirits.com) までご連絡いただければ、詳細が決まり次第ご連絡差し上げる。末筆となったが、OSCHINA への譲渡後 1 年以上にわたって編集部との契約を続けていただき、引き続きメールアドレスも使わせていただいているアピリッツに感謝したい。
DNSキャッシュサーバ チューニングの勘所
Software Design誌にて、来月より6ヶ月連続で、 「(VMware x Kubernetes) はじめよう、おうちクラウド」 という連載が2021年10 月18日より開始されるため、 宣伝も兼ねて、DevOps meetup に登壇しました。
標的型メールを3つの組織に送れば成功率は9割以上、人の脆弱性を狙う
Verizonが毎年発表しているデータ侵害の分析調査の最新版によれば、セキュリティインシデントの92％は、9種類のサイバー攻撃パターンに分類できるという。 米Verizonは毎年、世界各地のデータ侵害事件を分析した実態調査報告書「Data Breach Investigations Report」を発表している。同社日本法人のベライゾンジャパンが6月12日に同報告書の日本語版を公開した。報告書執筆メンバーの米Verizon RISKチーム ディレクター、ブライアン・サーティン氏がデータ侵害の最新動向を解説している。 この報告書は2008年から毎年公開され、英語による最新版は4月に米国で発表された。今回は95カ国で起きた6万3437件のセキュリティインシデントや1367件のデータ侵害／漏えい事案などについて分析している。 2013年の概要は既報の通りだが、サーティン氏は過去10年間に発生した
Rails SQL Injection Examplesの紹介
モノタロウの1900万商品を検索する Elasticsearch構築運用事例（2022-10-26 第50回Elasticsearch 勉強会発表資料）
総務省｜報道資料｜「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会第一次とりまとめ」及び意見募集の結果の公表
総務省は、平成25年11月から「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」（座長：佐伯仁志 東京大学大学院法学政治学研究科教授）を開催してきました。今般、同研究会において「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会 第一次とりまとめ」が策定されましたので、これを公表します。また、同とりまとめに先立ち、「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会 第一次とりまとめ（案）」に対する意見募集を行いましたので、意見募集の結果を公表します。 総務省は、巧妙化・複雑化するサイバー攻撃に対して、電気通信事業者が通信の秘密等に配慮しつつ、新たな対策や取組を講じていくことが可能となるよう、平成25年11月から「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」を開催し、検討を進めてきました。 平成26年3月に
DDoS攻撃は大規模化の一途、新たな手口の台頭も
2013年2月の時点でDDoSトラフィックの規模は最大でも4Gbpsだったのが、2014年2月には180Gbpsに達する「NTP増幅攻撃」が発生している。 特定の標的を狙って大量のトラフィックを送り付けるサービス妨害（DDoS）攻撃が大規模化し、新たな手口が台頭している実態が、企業向けのWebサイトセキュリティ対策を手掛けるIncapsulaの2014年版の報告書で明らかになった。 報告書によると、DDoS攻撃は2013年1月から2014年2月にかけて大規模化の一途をたどっている。2013年2月の時点でDDoSトラフィックの規模は最大でも4Gbpsだったのが、2013年7月になると60Gbps以上の攻撃が少なくとも週に1回の頻度で発生。2014年2月には180Gbpsに達する「NTP（Network Time Protocol）増幅攻撃」が発生した。 こうしたネットワーク攻撃の手口としては
「大至急！」の相談で直面した情報セキュリティの“悲しき現実”
「大至急！」の相談で直面した情報セキュリティの“悲しき現実”：萩原栄幸の情報セキュリティ相談室（1/2 ページ） 情報セキュリティの重要性が社会で広く認識されるようになったが、それでも残念な現実は存在する。最近直面したある出来事から、「情報セキュリティの本質」について触れてみたい。 あまりに非常識な相談 実は今月上旬、ある農協から「至急、相談したい。明日にでも来てほしい」とメールで依頼があった。ほぼ同時期にJAバンクでの横領に関する報道が相次いでおり、この事件に関連するものだろうと見当がついた。早速、先方に出向いで50代前半の情報セキュリティ管理者と面談した。 管理者によれば、この農協ではまだ不祥事が発生していないものの、経営側から早急に内部犯罪や情報セキュリティ対策を作成するよう指示があったという。そこで筆者に、「どういう面に注意すべきか」と尋ねてきた。しかし、「まだ実状を全く聞かされて
新たなDNSキャッシュポイズニング手法、第一フラグメント便乗攻撃について - 仙豆のレシピ
以前IPv6 summitに参加したときに聞いたお話の中にあった、昨年(2013年）8月に発表された新たなDNSキャッシュポイズニング手法「第一フラグメント便乗攻撃」について興味がわいたのでいろいろ調べたり実際にできるのかを試したりしてみました。（もちろん自分の管理するクローズドな環境で） 第一フラグメント便乗攻撃をグーグルで検索しても個人のブログ等が出てこないのでこれが第一「第一フラグメント便乗攻撃」便乗エントリです（別にうまくない） 攻撃コード等ありますが、けっして自分の管理する環境以外に使用しないでください 第一フラグメント便乗攻撃とは 第一フラグメント便乗攻撃とは、DNS応答がフラグメントされた場合DNS応答の同定に使える要素（UDPポート番号、問い合わせID、問い合わせ名）が一つ目のフラグメントにしかないことを利用し、二つ目のフラグメントを偽装することによって毒入れをするというD
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
これからのセキュリティ業界を担う、平成生まれのスーパーハッカー！――ゲヒルン 石森大貴さん
MAP | Kaspersky Cyberthreat real-time map
(PDF) Man-in-the-Browserの脅威と根本的な解決策 独立行政法人産業技術総合研究所
セキュアシステム研究部門 セキュアサービス研究グループ 高木浩光，渡辺創 - 第２回セキュアシステムシンポ
Reverse engineering Charange 2008 -イベント情報：NetAgent Co., Ltd.