AWSのセキュリティグループの許可ソースにセキュリティグループを設定するパターンとは-エンタープライズIT [COLUMNS]
金融システムの運用保守や情報システム部門のIT支援などを経て、現在は顧客へのAWS導入・移行の提案、構築などを担当。社内向けの勉強会、技術支援などを実施し、AWSエンジニアの育成にも挑戦中。好きな食べ物はカレーと餃子。 執筆・監修者ページ／掲載記事：6件 みなさん、AWSのセキュリティグループはご存じでしょうか？ こんにちは。エンジニアの中井です。 AWSのサービスを利用する上で、避けては通れないのがセキュリティグループの設定です。 このセキュリティグループですが、改めてドキュメントを読み返すと色々と発見がありました。 そこで今回は、セキュリティグループの基本的な部分をおさらいしつつ、インスタンスへの設定パターンなどについて説明していきたいと思います。 セキュリティグループのおさらい 一言でいうと セキュリティグループは「ステートフルなファイアウォール」で、インスタンスレベルで動作。 ネッ
![AWSのセキュリティグループの許可ソースにセキュリティグループを設定するパターンとは-エンタープライズIT [COLUMNS]](https://cdn-ak-scissors.b.st-hatena.com/image/square/ec7a7459de5f863ffe2b1e3dab25b4653f6eef5a/height=288;version=1;width=512/https%3A%2F%2Fent.iij.ad.jp%2Fwp-content%2Fuploads%2F2020%2F10%2Fe-aws01.png)
Blog｜リバースブルートフォース攻撃の概要と Web アプリにおける対策
リバースブルートフォース攻撃（逆総当たり攻撃、リバースブルートフォースアタック）とは、不正ログインを目的とする攻撃手法で、パスワードなどを固定して、ID 部分を変えながら総当たり的にログイン認証を繰り返していく攻撃です。 「ブルートフォース攻撃（総当たり攻撃）」という攻撃も存在していますが、リバースブルートフォース攻撃はその逆に当たる手法（パスワード部分ではなく ID などの部分の変更）を用いた攻撃になります。 総当たり攻撃の対策として、パスワードを一定回数間違えた場合に、対象アカウントをロックする手法が一般的には知られています。そうすることで「一定回数までしか攻撃者はログインを試せないため安全」という前提が作れるためです。 しかしリバースブルートフォース攻撃では、パスワードではなくユーザー ID 側を変更しながら攻撃を行うため、特定アカウントへの大量の認証施行は行われず、アカウントロック
AWSアカウントを作ったら最初にやるべきこと ～令和元年版～ | DevelopersIO
はじめに 中山（順）です 4年ほど前にこの記事のタイトルと同じテーマで資料を作成したことがあるのですが、古い内容があったり新しいサービスのことが含まれていなかったりするので改めてまとめてみました。令和だし！ その時の資料はこちらです（クラスメソッドにジョインするくらい2年前です）。 AWSアカウントを作ったら最初にやるべきこと サインアップ （業務利用の場合）非個人メールアドレスでサインアップ サポートプランの確認 ID管理 / 権限管理 CloudTrailの有効化 ルートアカウントのMFA設定 IAM User / IAM Groupの作成 パスワードポリシーの設定 GuardDutyの有効化 Security Hubの有効化 請求 IAM Userによる請求情報へのアクセス許可 支払通貨の変更 Budgetの設定 Cost Explorerの有効化 Cost Usage Report
妻に公開鍵暗号を教えてみた - 西尾泰和のはてなダイアリー
何気なく放送大学をつけていたら公開鍵暗号の話をしていた。 妻「この話、何度聞いてもわかんないのよね」 僕「え、どこがわからない？どこまではわかってる？」 妻「平文はわかるけど、鍵を共有するとか秘密にするとか、署名するとかがよくわからない」 僕「あー、鍵に例えているのが逆効果なのか」 「鍵」をNGワードに指定 僕「じゃあ『鍵』という言葉を使わずに説明してみよう。暗号って『平文を暗号文に変換する方法』で伝えたい文章を暗号文に変えて送り、受け取った人はそれに『暗号文を平文に戻す方法』を使って元の文章を得るわけだ。その目的は、途中の通信文が敵に取られたりしても通信の内容がバレないようにするため。」 妻「うん」 僕「昔の暗号化の方法は、片方の方法がわかるともう片方の方法も分かった。例えば『アルファベットを後ろに1個ずつずらすと平文に戻せます』って教えてもらったら、『なるほど、前に1個ずつずらせば暗号
httpアクセスをhttpsにリダイレクトする | Windows Maniax
SSLで保護されていないアクセスをSSLで保護されたアクセスにリダイレクトする方法を示します。 URL Rewrite Module v2.0をインストールしていない場合はインストールします。 >>> URL Rewrite Module (IIS.net) ※現時点(2009/12/22)ではv2.0はRC2です。v1.1では不具合や機能不足なことがあります。 IISマネージャを起動します。 [接続]ウィンドウで、SSLでのアクセスにリダイレクトする対象となるサイトやディレクトリを選択します。 [URL Rewrite]をクリックします。 “URL Rewrite”ページの[操作]ウィンドウで[Add Rules]をクリックします。 [Add rule(s)]ダイアログで”Inbound rules”の[Blank rule]を選択します。 [Conditions]エリアの[Add Co
iOS9 で導入される ATS とは結局何なのか - 水深1024m
iOS9 で導入される ATS (App Transport Security) の話です。 ATS は OSX, iOS アプリケーションが NSURLConnection, CFURL, NSURLSession を利用してサーバに接続する際 現時点で最善に近いセキュアな接続をデフォルトとする仕組みです。 この記事で言いたいことはだいたい 公式ドキュメント に書いてあるのですが、"よくわからんから全てにおいて ATS を無効化する" で終わらないためにどうすれば良いかについて書きます。 個人的に AWS をよく使っているので、AWS における事情なども適宜付加します。 何が変わるのか "Default Behavior" の項目に記載されていますが、 ATS が有効になっていることによって外部接続先に要求される要素は、以下のものです。 サーバは TLS 1.2 をサポートしていなければ
セッションIDと認証チケット - teracc’s blog
以前の日記で、ASP.NETのセッション固定対策について書きました。 その結論をまとめると、 ASP.NETにはセッションIDを変更するまともな方法が存在しない。 そのため、ASP.NETではフォーム認証機構（FormsAuthentication）を使ってログイン状態管理を行うべき。 FormsAuthenticationは、通常のセッションID（ASP.NET_SessionId）とは別の認証チケット（Cookie）をログイン成功時に発行し、この認証チケットによってログイン後のユーザの識別を行う仕組み。 ということになります。 ASP.NETのサイトに限らず、セッション（PG言語やフレームワークに組み込みのセッション機構）と、認証チケットの両方を使用しているサイトはたまに見られます*1 特にポータルサイトのような大規模なサイトは、ログインをつかさどるシステムと、会員向けのブログや日記、
ASP.NETで忘れずにやっておくべきこと（2） セッションハイジャック対策 - atsukanrockのブログ
はじめに 本エントリは『ASP.NETで忘れずにやっておくべきこと』シリーズの第2回。「セッションハイジャック対策」について記す。 目的 セッションハイジャック攻撃に対し、十分な防御力を持つASP.NET Webアプリケーションを作成する。 注意 「セッション」ハイジャックという名前からして、セッション状態*1に対する攻撃のみを指すように思える。これを狭義のセッションハイジャックとするなら、本エントリでは、広義のセッションハイジャックについて述べる。広義のセッションハイジャックとは、攻撃者がアプリケーションの正当なユーザーになりすますことを言うものとする。 セッションハイジャックとは？ まず、セッションハイジャック攻撃について、その攻撃方法と一般的な対策法を学ぶ。 最適なテキストは情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方の『安全なウェブサイトの作り方』（P
OAuth 2.0 Implicit Flowをユーザー認証に利用する際のリスクと対策方法について #idcon - r-weblife
おはようございます、ritouです。 今回は、一部で先週話題なりましたOAuth 2.0のImplicit Flowについてのエントリになります。 (2012/2/7 いろいろと修正しました。) 単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる | @_Nat Zone Thread Safe: The problem with OAuth for Authentication. 今回は以下の内容について整理したいと思います。 OAuth 2.0のどの機能にセキュリティホールがあるのか 誰が攻撃者になれるのか 対策 OAuth 2.0 Implicit Flowとは OAuth 2.0ではサードパーティーアプリケーションが保護リソースへのアクセス権限を得るためのいくつかのフローが定義されています。 (仕様中ではFlowやGrant Type
ロスト アップデートとその解決方法 その 1
(目次: トランザクションのサンプル) ロスト アップデート (Lost Update, 失われた更新) とは、更新したはずのデータが失われてしまう現象のことです。 「後勝ち」と表現されることもあります。 わざと後勝ちルールを採用する業務もあると思いますが、頻繁なアクセスが見込まれる場合には適切な排他制御が必要になります。 今回は、ロスト アップデートの発生と SQL Server における解決方法について、実際のコードを示して説明します。 前提として、SQL Server におけるロック メカニズムやトランザクション分離レベルについての基礎知識が必要になります。 これらは SQL Server のロック管理 (@IT) で確認できます。 以下で示すサンプルでは同時実行制御のために自動トランザクション (TransactionScope クラス) を使用していますが、 手動トランザクション
クロスサイト・リクエストフォージェリ対策 | DevelopersIO
クロスサイト・リクエストフォージェリ(以下CSRF)がどういうものかの説明や 対策についてネットに散在しているが、実際に関わったプロジェクトで対策を行う機会があったので書いてみた。 ■まずはCSRFの概要について クロスサイト・リクエストフォージェリ(以下CSRF)の概要 アプリケーションが機能を実行する際、サーバーで受け取ったリクエストが 送信者の意図したものであるかの確認処理が十分でない事が原因で発生する問題。 CSRFが行われると送信者の認知しない所で情報を操作されてしまう。 ■発覚した脆弱性 対象となるウェブアプリケーションではログイン時に生成したセッションIDをcookieにセットし、 ユーザの識別や権限の評価を行っていた。 セッションIDの有無に頼った実行権限のチェックのみであったため、 ユーザが意図しない機能を実行するリクエストを送信させられた場合、 ユーザの意思に反して機能
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
Webアプリケーション作った後のチェック表
愛宕山太郎坊 アニメーション制作進行支援ソフト 愛宕山太郎坊 ログイン 会社id ユーザー名 パスワード ユーザー名またはパスワードが正しくありません。 閉じる ログイン
aguse.jp: ウェブ調査
あやしいサイトや知らないサイトを訪れる前に、URLを入力するだけでサイト背景情報を調査したり、迷惑メールの送付経路を表示したりすることが出来ます。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
情報セキュリティスペシャリスト試験情報
OAuth 2.0 Playground
http://blog.monoweb.info/article/2012021823.html
HTML5 Security Cheatsheet