AWS、Splunkなどがセキュリティに関するメトリクスの標準化を目指す「Open Cybersecurity Schema Framework（OCSF）」を発表
AWS、Splunkなどがセキュリティに関するメトリクスの標準化を目指す「Open Cybersecurity Schema Framework（OCSF）」を発表 AWSやSplunkが中心となって、セキュリティ関連のさまざまなソフトウェアやツール、機器などが生成するメトリクスやログデータの相互運用性を高め統合運用を容易にするためデータスキーマの標準化を目指すプロジェクト「Open Cybersecurity Schema Framework（OCSF）」の設立を発表しました（AWSの発表、Splunkの発表）。 設立への参画を発表したベンダはセールスフォース、Cloudflare、Palo Alto Networks、IBM Security、Sumo Logic、トレンドマイクロ、Rapid7、Tanium、DTEX、CrowdStrike、JupiterOne、Zscaler、Ir
SpringのRCE脆弱性(CVE-2022-22965)について
はじめに Log4jやStruts2など、Java製ソフトウェアにおいてリモートからの任意のコード実行(RCE)の脆弱性が目立つ時代になってしまっていますが、これにさらにSpringも加わってきました。この記事では特にCVE-2022-22965に焦点を当て、技術的な視点からの解説を行ってみます。 なぜJavaアプリでRCEとなるのか? Javaの(特にウェブアプリケーションで)RCEとなるパターンはいくつか知られており、以前こちらの記事にまとめました。今回のCVE-2022-22965はこの記事の「3. クラスローダを操作できてしまうパターン」のパターンになります。 なぜクラスローダを操作できるのか? そもそも「クラスローダの操作」とは何を意味しているのでしょうか。この文脈では、Javaのプロセス内のクラスローダ系のクラスのインスタンスの、getterやsetterのメソッドを攻撃者が実
Spring Frameworkの脆弱性 CVE-2022-22965（Spring4shell）についてまとめてみた - piyolog
2022年3月31日、Spring Frameworkに致命的な脆弱性が確認され、修正版が公開されました。ここでは関連する情報をまとめます。 １．何が起きたの？ JDK9以上で実行されるSpringMVC、SpringWebFluxでリモートコード実行が可能な脆弱性（CVE-2022-22965）が確認された。脆弱性の通称にSpring4shellまたはSpringShellが用いられている。 Spring FrameworkはJavaで採用される主流なフレームワークの1つのため、Javaで実行されるWebアプリケーションで利用している可能性がある。 2022年3月31日時点で脆弱性のExploitコードが出回っており、関連するインターネット上の活動が既に報告されている。 ２．脆弱性を悪用されると何が起きるの？ 脆弱性を悪用された場合、リモートから任意コード実行が行われることで、機密情報の
【レポート】ISMAP に基づくクラウドコンプライアンスの向上 #AWS-48 #AWSSummit | DevelopersIO
こんにちは、臼田です。 みなさん、AWSのセキュリティ確保できてますか？(挨拶 今回は2021年5月11 - 12日で開催されているAWS Summit Online Japan 2021のセッションレポートです。 ISMAPという制度がどういうものか、我々はどんなふうに付き合っていけば良いのかがよく分かるセッションでした！ セッション概要 セッション名: ISMAP に基づくクラウドコンプライアンスの向上(AWS-48) スピーカー: アマゾン ウェブ サービス ジャパン株式会社 セキュリティ アシュアランス本部 本部長 松本 照吾 概要: 政府情報システムのためのセキュリティ評価制度（ISMAP）は日本ではじめての公的なクラウド事業者の評価制度となります。本制度に基づいてお客様や AWS のエコシステムを形成するパートナーの皆様はどのような対応が求められるのか、AWS がどのようにお客
セキュリティ スキャニング フレームワークの作り方/Seven staps to build a Security Scanning Framework
https://github.com/gsx-lab/caras-framework #ssmjp %s/staps/steps/
フレームワークに見る Web セキュリティ対策 - Qiita
セキュキャン 2015 高レイヤートラック(Jxck) 本資料は、セキュキャン 2015 高レイヤートラックの講義資料です。 セキュキャン参加者であるセキュリティエンジニアの卵を対象に、 Web のセキュリティの知見が、実際どのように Web アプリ開発に反映されているか、もしくはどう反映すべきかを、フレームワークの視点から解説することを目的としています。 将来、 Web のセキュリティに興味を持ったエンジニアが、その知見を多くの開発者に啓蒙する手段として、フレームワークに反映するというのは非常に有効な方法です。 ここではその実例として Rails を例にとり、 Rails がこれまでに積み上げてきたセキュリティに関する知見を振り返るとともに、フレームワークとしてそれをどう取り入れているかを解説します。 Intro Web アプリケーションを開発する場合、 Web アプリケーションフレーム
例えば、Strutsを避ける
はじめに 筆者は10年以上ウェブアプリケーション開発を主な業務とするJavaプログラマであったにも関わらず、Strutsについてはこれまでずっと食わず嫌いでした。初期のStrutsは「XMLだらけで効率が悪そう」というイメージが強かったためです。最近はRuby on Rails等の影響を受けCoC(convention over configuration)を採り入れ、XML地獄もだいぶ解消したようです。 StrutsはJavaアプリケーションらしくない種類（任意のコード実行等）の脆弱性を連発することでも知られており、最近は我々の提供するSaaS型WAFサービス、Scutum(スキュータム)のお客様からも頻繁にStrutsについての問い合わせを受けるようになりました。また、去年見つかった任意のコード実行の脆弱性では、脆弱性の公表後すぐにPoCが出回り実際に攻撃が発生するなど、悪い意味で注目
フレームワークの責務とセキュリティ - MugeSoの日記
お久しぶりです。 夜中にモツ煮込み作りながら書いてます。 さて、今回はフレームワークの責務とセキュリティについて思うところがあって久しぶりにエントリを書くことにしました。 背景 まず、背景としてBEAR.Sundayの一部であるBEAR.PackageにサンプルとしてBasic認証の実装を追加するPullRequest#90でのやり取りがあります。このPRはzukimochiさんが作ったものに僕が修正を加えて出した物です。この中では、Basic認証用のパスワードをハッシュとして扱うように実装されています。 多くの人が斜め読みしているのは背景説明が長すぎるからだと思ったので削除しました。詳しく知りたい方はPRをご覧ください。 本題 いよいよ本題です。 PRの最後にkoriymさんが発言している次の言葉はフレームワーク開発に於いてとても重要です。 より関心のある問題に集中するために、特に専門と
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
