はじめに こんばんは、mirukyです。 ある日突然、AWSから $15,000（約200万円）の請求書 が届いたらどうしますか？ 2026年3月、海外でまさにこの事態が発生しました。個人開発者のS3バケットがDDoS攻撃を受け、3日間で160TBのデータ転送が発生。結果として約200万円の請求が来たのです。AWS側に減額を申し出て一部減額は受けたものの、それでも到底払えない金額が残りました。 怖いのは、この事態は誰にでも起こりうるということです。S3バケットをパブリックに公開している、あるいはCloudFrontの背後に適切な保護を設定していない——それだけで、あなたのAWSアカウントも同じリスクを抱えています。 本記事では、AWS公式ドキュメントと料金体系に基づき、S3/CloudFrontのコスト爆発を防ぐための具体的な防止策をコンパクトにまとめます。 目次 なぜS3のデータ転送で2

アジェンダ 1. 自己紹介 2. 背景と課題 3. 複製不可能な鍵運用とは 4. 代表的な方式と選び方 5. 導入デモ手順 6. まとめ 2 / 51 自己紹介 • • • • • • matsuuです ◦ X @matsuu ◦ Bluesky @matsuu.bsky.social ◦ Mastodon @[email protected] ◦ mixi2 @tmatsuu ◦ はてな @tmatsuu 主に技術ネタをはてブ→SNSに共有する驚き屋 好きなTerminal ◦ Ghostty ◦ Windows Terminal ◦ foot Terminalは白地に黒文字派。ThemeはDimidium推し 気になっているCLI/TUIツール ◦ SecretSpec https://secretspec.dev/ ◦ Gonzo https://github.com/control

みー @JFMgEb8e7s9uwmw ついに来た‼️こちら危険なマロです‼️ 秘密の質問(パスワード忘れた際に答える物)の答えを探る物と言われています。周りの様々な方に届いてるのも何度も目撃しているのでここで実際のマロと共に注意喚起します。 こんだけ大量の質問をしときながら人間らしいコメントなし=怪しい！ 回答しないように‼️ pic.x.com/LbFfa9MY6R 2026-03-20 16:38:50 秘密の質問 秘密の質問（ひみつのしつもん）またはセキュリティ質問（セキュリティしつもん、英語: security question）は、認証者によって用いられる共有秘密鍵の一形式である。 「あなたのペットの名前は？」「あなたの母親の旧姓は？」「初めて見た映画のタイトルは？」などの質問が秘密の質問として挙げられる。銀行（例えばりそな銀行）、通信会社、インターネット事業者（ウェブサイト）

TL;DR Cloudflareのアドバンテージは、次の3点です。 無料プランだけでWAF・ボット対策まで揃う、セキュリティの充実度 DNS統合だからこそ、煩雑でリスクの高い設定をワンクリックで実現 AIクローラー対策やページ先読みなど、最新トレンドへの即応 つい3日前にCloudflareへ移転したばかりです。構成はシンプルで、Cloudflareでドメインを取得し、GitHubリポジトリと連携して静的コンテンツをCloudflare Pages[1]へデプロイしています。この構成だけでも思いの外多くの恩恵が得られたので、まとめておきます。 Cloudflareでの設定 Cloudflareのダッシュボードで有効にした機能を、カテゴリごとに紹介します。いずれも無料プランで利用でき、ほとんどがトグルひとつで有効にできるものです。なお、本記事の機能名やβ表記は2026年2月時点のCloudf

はじめに 昔からサービスの運営者を困らせてきたものはいくつかあると思いますが、 特に代表的なのが “自動化による悪用” です。 スクレイピングによる無断データ収集や、予約システムを狙ったボット、さらには不正ログインを試みる自動化ツールなど、その形は時代とともに多様化してきました。 X (旧Twitter) には、今でも詐欺DMを送るボットが多いです。(自分は毎日来ます。) また、大阪万博の予約を勝ち取るために、サーバーに過度の負荷をかける形で自動化が悪用された事例もあります。 そして、最近はAIを利用した巧妙なものも増えています。 この記事を読んで、そのような事態に対処できるように知識が少しでも増えれば良いな、と思っています。 ぜひ少しでも役に立てば、いいね・他SNSへの共有など、よろしくお願いします！！ 実例 2025年現在、大阪万博なる物が開催されており、DX化の一環として予約をウェブ

Windows10のサポートは日本時間で2025年10月15日で終了となります。それよりあとはセキュリティ更新プログラムが配信されなくなります。しかし、延長サポートとなるESU (Extended Security Updates)に登録することで、個人ユーザーは追加で1年間、セキュリティ更新プログラムを受けられます。(つまり、サポート終了日以降も追加で1年間、セキュリティを保てます) 本記事では、個人ユーザーがWindows10のESUに登録する方法(無料および有料)を解説いたします。 備考: 本記事は個人ユーザー向けです。企業・組織向けESUについてはMicrosoftのページ(1 / 2)をご覧ください。個人ユーザー向けESUは最大1年間、企業・組織向けESUは最大3年間利用できます。 ESUの登録手順は以下。 1.) 『設定』 → 『更新とセキュリティ』 → 『Windows Up

こんにちは。趣味グラマのNobu(@nm_aru)です。 Google Playから以下のタイトルのメールが来ていましたが、身分証の提出ぐらいだろうと甘く考え、期限ギリギリまで放置しようと思っていました。 時間が出来たので内容を見てみると、何と個人開発者は自宅住所をストアに公開するための対応依頼でした・・・。 名前の公開はまだ良いとして、流石に住所公開はハードルが高いので、Playストアでのアプリ公開はもう諦めようかなと思いもしましたが、以下の3点から開業届を出して対応する事にしました。 利用してくれているユーザーがいる iOSのみになるとFlutterを使っている意味がほぼ無くなる 開業届のハードル（手続き、費用面）が低くなった という訳で、ここには備忘録を兼ねて今回の対応を残しておきたいと思います。

こんにちは！イーゴリです。 AWS にとって、クラウドのセキュリティは最優先事項です。(AWS公式ページ) AWS環境のセキュリティ対策としてAWSサービスを解説するよりも、まずはAWS環境の最適な設計について考える必要があります。AWS Well-Architected Frameworkを考慮しながらの設計を推奨します。AWS Well-Architected Frameworkを全部詳しく読むことをおすすめしますが、この記事では個人的に一番重要だと思う点について記載します。 とてもざっくり説明しますと、AWS Well-Architected Frameworkとは、クラウドシステムの最適な設計方法を提供するAWSのガイドラインで、6つの柱があります。この記事では基本的に「セキュリティ」の柱を技術的観点から見てみたいと思います。 AWS Well-Architected Framew

こんにちは。エムスリー・QLife(エムスリーのグループ会社)・エムスリーヘルスデザイン(エムスリーのグループ会社)でエンジニアとして各種作業に関わっている山本です！ 以前もメール送信の話を書かせていただいたことがありますが、今回もまたメールネタとなります。今回のお題はメールセキュリティです。 大量メール送信のための予備知識 - エムスリーテックブログ すでにご覧になった方もいるかと思いますが、次のようなニュースが流れています。 www.proofpoint.com この「GoogleとYahooの新Eメール認証要件」ってつまりどういうことよ？ というところを具体的にどのように進めているかについて書かせていただきたいと思います。 2023/12/18追記 : Googleからメール送信にTLSを使うことが追加要件として示されました。 TL;DR とりあえず何から始める？ 何はともあれ実際に

「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す

画像出典: https://www.ipa.go.jp/files/000017316.pdf こんにちは。株式会社Flatt Security セキュリティエンジニアの奥山です。 本稿では、独立行政法人 情報処理推進機構(以下、IPA)が公開している資料「安全なウェブサイトの作り方」を紹介します。 「安全なウェブサイトの作り方」は、無料で公開されているにも関わらず、Webセキュリティを学ぶ上で非常に有用な資料です。これからWeb開発やセキュリティを勉強したいと考えている方はもちろん、まだ読んだことのない開発者の方々にも、ぜひ一度目を通していただけたらと思います。 一方、「安全なウェブサイトの作り方」では、一部にモダンなアプリケーションには最適化されていない情報や対象としていない範囲が存在します。それらについても本記事で一部、触れていきたいと考えていますので、資料を読む際の参考にしていただ

※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こす可能性があることが判明しました。 通常、クエリのエスケープ関数やプレースホルダはSQLインジェクションを防ぐことが知られています。しかし、mysqljs/mysql は、値の種類によってエスケープ方法が異なることが知られており、攻撃者が異なる値の種類でパラメータを渡すと、最終的に予期せぬ動作を引き起こす可能性があります。予期せぬ動作とは、バグのような動作やSQLインジェクションなどです。 ほぼすべてのオンラ

はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本