エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
OWASP ZAP – 簡単にWeb脆弱性診断ができる診断ツール | そるでぶろぐ
こんにちは。ソリューション開発部の羽澤です。 現在、インターネット上に公開されるWebアプリケーションの開発をさせて頂いております。インターネット公開と言えばやはりセキュリティ対策が必須となります。 今回のプロジェクトでは、我々アプリケーション開発チームとは別に、セキュリティテストを行うチームが組まれることとなりました。ですので、セキュリティテストの計画立案～テスト実施まで、そのチームがおこないます。ここで問題が発見された場合、我々アプリケーション開発チームが対応するという体制です。 我々アプリケーション開発チームは、セキュリティテストチームからの挙がる指摘を極力少なくしなければなりません。これを出来る限り少ない工数で行うのが、今回の目的となります。 対応すべきWebサイトのセキュリティ脆弱性とは今更ではありますが、代表的な脆弱性を明確にしておきます。情報処理推進機構から、代表的なWebサ
OWASP ZAP を使った脆弱性診断
本日のブログは岩石が担当です。秋も深まり各地で秋祭りが催される時期になりました。 来週には旧暦で神無月に入りますが、弊社のある島根県出雲地方では神有月（かみありつき）となります。 今年も多くの神様方がいらっしゃることでしょう。 今回のブログは私のことでは無く、社内での社員の活動について書きます。 先ごろから、契約管理などに使用する事務システムの開発を社内で行っています。これまで事務管理は表計算ソフトで行っていましたが、社員の増加や役割の分割、また顧客数の増加などにより表計算ソフトでの対応では効率が悪いケースが発生しているため、以前よりシステムのWeb化を目論んでおりました。 今年度開発業務担当の新卒社員を迎え入れたことから、OJTの対象として取り組んでいます。スクラム手法で開発に取り組んでいますが、先日最初のリリースを行いました。 社内の規程で、業務に使用するアプリケーションをリリースする
Webセキュリティの基本を徳丸本とRailsから学ぶ - Qiita
はじめに 本記事では徳丸本の第４章を元にWebセキュリティの基本を紹介するとともに、 Ruby on Railsの実装例から、人類がどのように脆弱性と向き合ってきたかを紹介します。 XSS XSSは最もよく発生するWebセキュリティ上の脆弱性として知られています。 (参考)http://it-trend.jp/security_assessment_service/article/market XSSとは、クライアント側のコンピュータに実行可能な悪意のあるコードが注入されてしまう攻撃手法です。 XSSの種類 反射型XSS 悪意のあるコード(主にJavascript)が、攻撃対象のサイト内ではなく、別のサイトやメールの本文中にある場合を反射型XSSと呼びます。 HTTPリクエスト中にパラメータとして含まれる攻撃コードが、そのまま攻撃対象のWebページ上で動作します。 ※以下のようなリンクを踏
時刻同期サービス「ntpd」に重大脆弱性、細工パケット一撃でサーバー乗っ取りも
情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）が共同で運営する脆弱性関連情報ポータルサイト「JVN（Japan Valnerability Notes）」は2014年12月22日、IT機器の時刻合わせに広く使われているサーバーソフト（デーモン）の「Network Time Protocol daemon（ntpd）」に複数の脆弱性が見つかったことを伝えた。発見された脆弱性の中には、不正に細工されたNTPパケットを一つ受け取るだけで、サーバーがいきなり乗っ取られる危険性があるものも含まれている。 見つかった脆弱性は四つ。（1）設定ファイルntp.conf中でauth keyを設定していない場合に、暗号強度が低いデフォルト鍵が生成される問題、（2）古いバージョンのntp-keygenが、弱いシード値を使って乱数を発生し、これを基に暗号強度の低い対称鍵を
学校では教えてくれない、脆弱性発見時の対応のこと
生業として脆弱性検査をやっていない限り、Web サイトの脆弱性にぶち当たったりすることは、稀なことだとは思うんですよね。 自分も、ずいぶんと長いことコンピュータの仕事に関わってきましたけど、一ユーザとして脆弱性を見つけてしまったことは、後にも先にも以前書いた図書館システムの件だけだったりしますが…。 自分は、富士通のシステムが使われていた頃から、Web での図書の貸出予約が出来るように利用者登録をしていたので、新システム切り替わりと同時にパスワードを変更して使っていたわけですが、新システムに切り替わって 1 ヶ月になろうかという頃、利用者メニューにログインしているときに、ふといや～な予感が…。 [From セッション管理がダメダメな図書館システムを 3 年も前に見つけてしまった顛末 - Soukaku's HENA-CHOKO Blog] でもって、数日前に見かけた見かけた、こんな話。 学
vpsおよびクラウドシステムに於けるsshの安全性(仕様に於ける脆弱性)について
■ 問題の原点 まず、世に存在するvpsやクラウドシステムには、基本的には2種類の構成が存在している。このうちコンテナ型と呼ばれる構成では、予め必要とされてるsshやメールなどの基本的な内容が初期段階より構成されており、コンテナを選択するだけですぐにシステムの構築が出来る、手軽さが売りになっている。このコンテナには、予めsshが組み込まれていることが多く、そのため管理者のpasswordがデフォルトで決めうちになっている場合も多い。管理者のpasswordをデフォルトで放置していた場合、外部からの攻撃によって、あっさりと侵入を許してしまうことがある。 本題は、ここからだ。このsshが最初からインストールされている＝ホストキーが最初から入っている＝同じコンテナを使う限りホストキーは変わらない。ということになる。 また、vpsやクラウドシステムが大規模になればなるほど、この傾向は強まり、/16
Linuxに権限昇格の脆弱性、エクスプロイトも出回る
悪用された場合、ローカルユーザーが細工を施したシステムコールを使って権限を取得できてしまう恐れがある。 Linuxに権限昇格の脆弱性が見つかったとして、米国立標準技術研究所（NIST）が脆弱性情報を公開した。米セキュリティ機関のSANS Internet Storm Centerによれば、既にこの脆弱性を突くエクスプロイトコードも出回っているという。 NISTが5月14日に公開したセキュリティ情報によると、脆弱性はLinuxカーネルの「kernel/events/core.c」における「perf_swevent_init」機能に不適切な整数値が使われていることに起因する。影響を受けるのは3.8.9までのLinuxカーネル。この問題を利用すると、ローカルユーザーが細工を施したperf_event_openシステムコールを使って権限を取得できてしまう恐れがあるという。 危険度は共通指標のCVS
github の mass assignment 脆弱性が突かれた件
Github に脆弱性。やった人は Rails に有りがちな脆弱性を issue に挙げていたが相手にされず、実際にそれを突いてきた。一見 childish だが、それだけ簡単に脆弱な実装がなされてしまうということだ。週明けの今日、Rubyist はまず関連情報に一読を。 — Yuki Nishijima (@yuki24) March 4, 2012 気になって調べたのでメモ。自分も気をつけないとなー。 Public Key Security Vulnerability and Mitigation - github.com/blog/ github に脆弱性があってそれが突かれたらしい。 Rails アプリにありがちな脆弱性の一つ、Mass assignment とかいうタイプの脆弱性である。 mass assignment 脆弱性とは mass assignment 脆弱性とは何か、
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
%25E3%2581%25AE%25E6%2597%25A5%25E6%259C%25AC%25E8%25AA%259E%25E5%2588%25A9%25E7%2594%25A8%25E3%2581%25AB%25E3%2581%25A4%25E3%2581%2584%25E3%2581%25A6)
doruby.jp
doruby.jp
https://github.com/ueno1000/secreq/blob/master/OWASPWebApplicationSecurityRequirements2.0.pdf