コードを静的解析して脆弱性を検出する「SCALe」、米CERTがオープンソースで公開
米Software Engineering Institute（SEI）のCERT部門は、静的解析によってコードの脆弱性を検出するアプリケーション「SCALe」（Source Code Analysis Laborator）をオープンソースで公開しました。 SCALeは、複数の静的解析ツールをまとめて実行するためのフレームワークでできており、今回公開されたアプリケーションにはセキュリティに関するコーディング規約「SEI CERT Coding Standards」およびSQLインジェクション、クロスサイトスクリプティング、バッファオーバーフローなど多くのソフトウェアの脆弱性を体系的に一覧化した「CWE（Common Weakness Enumeration）」（共通脆弱性タイプ一覧）の2つをベースにしたツールが含まれています。 SEI CERT Coding Standardsは現在、C/
[書評]サイバー攻撃 ネット世界の裏側で起きていること
中島明日香氏の近著『サイバー攻撃 ネット世界の裏側で起きていること』を読んだので紹介したい。本書は、一見すると入門者向けの初歩的なセキュリティ解説書の体裁をとっているが、その内部に著者の恐ろしい野望が秘められていると感じた。 重要事項説明 著者と評者には特筆すべき利害関係はない 評者は本書を自費で購入した（献本等ではない） この記事のリンクにはアフィリエイトが含まれる はじめに 本書は、ブルーバックスの１冊として、サイバーセキュリティの分野の、特に脆弱性について焦点をあて、入門的な解説を試みるものである。本書6ページから、「本書で扱う内容」の一節を引用しよう。 本書の目的は、適切なサイバー攻撃対策を講じる際の一助となることです。そこで、脆弱性そのものとそれを突く攻撃手法について、情報科学の知識を持たない人でも理解できるように、基本的なところから解説します。 この一節だけでも、本書の狙いが意
エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
CentOS で行なっておきたいセキュリティ設定: ある SE のつぶやき
はじめに Linux のセキュリティ設定ってなかなかまとまったものがないので、いろんなサイトを参考にしながら設定をまとめてみました。想定はWeb サーバーで、使用している Linux は CentOS 6.2 です。 設定内容は以下のようになります。 全パッケージのアップデート リモートからの root ログインを無効にする 公開鍵暗号方式を使用した SSH ログイン設定 iptables 設定 SSH ポート番号の変更 不要なサービスを停止 ログ監視設定 ファイル改ざん検知ツール設定 ウィルス対策ソフト設定 Apache の設定 全パッケージのアップデート 最初に以下のコマンドを実行して、全パッケージを最新の状態にする。 # yum –y update 後は脆弱性が発見された時、または定期的にパッケージのアップデートを行う。 リモートからの root ログインを無効にする リモートからメ
多くのID & パスワードを、たった一つのパスワードで管理する「KeePassX」。Dropboxで複数マシンで同期も可能。 | LiberOS | Viva! Ubuntu!!
「クラウド」という言葉が定着しつつある現在、便利なWebサービス/アプリがたくさんあって、嬉しい限りなのでありますが、サイトによっては同じIDを取得できなかったり、パスワードの規則がまちまちだったりして、不便この上ないわけです。数カ月ぶりに訪れた時には、どのIDだったか、どのパスワードだったかを覚えておらず、改めてアカウントを取得しちゃったりして。。。 会社のPC、自宅のPC、ノートPCにネットブック、、、どのパソコンでも、Webサービス/アプリであれば同じ環境で作業ができて、とても便利なのでありますが、安易にパスワードをメモしておくわけにもいかず、EvernoteとかGoogle Docsのページに保管しておくのも気分的に落ち着かない。 そんな時に便利なのが「KeePassX」とDropboxの組み合わせ。 「KeePassX」は鍵の保管庫のようなもの。難しいことは全くなし！ たった一つ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
高木浩光＠自宅の日記 - ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない
■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
パスワード管理ツール id-manager.el 更新 - 技術日記＠kiwanami
id-manager.elを更新しました。あと、ちゃんと紹介記事を書いてなかったのでまじめに書きました。 以前の記事：2009/09/14 id-manager.el 何か 世の中にあふれるIDとパスワードを管理するものです。 例によって類似品がたくさんあります。有名なものを列挙すると以下のような感じでしょうか。 パスワード管理ソフト ID Manager フリー。Windows上の定番？ パスワード管理、デジタルウォレット、パスワード生成 | ロボフォーム 商用。メーカー製PCにプリインストールされていることがある GNOME Keyring GNOMEの標準鍵管理ツール 本家：Projects/GnomeKeyring - GNOME Wiki! 参考：gnome-keyring を利用してコマンドライン上のパスワードを置換する - daily dayflower その他 最強のパスワ
独学Linux : Ubuntuで使えるウィルス対策ソフト
8月20 Ubuntuで使えるウィルス対策ソフト カテゴリ:Ubuntu8.04セキュリティー Linuxだけで使う分には，ウィルスについてはあまり気にしなくても問題ないでしょう。ただ，僕のようにほとんどLinuxオンリーという人はまだ少なく，多くの方々は，Windowsと併用しているのではないかと思います。 [2011.8.14 追記] デフラグに関しては下記の記事を参照。 ■ 独学Linux：Linuxでデフラグを実行するスクリプト そこで，改めてセキュリティーについて考えてみようということで，今回はウィルス対策ソフトを紹介しておきます。 Linuxで使えるフリーソフトはいくつかありますが，一番のおすすめは，AVG Anti-Virusというソフトです。 シンプルでわかりやすいインターフェイス。「Test」をクリックして，スキャン対象のフォルダを選ぶだけです。 【AVG Anti-Vi
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
標準教科書シリーズ お問い合わせ窓口
SSH力をつけよう
ブログが続かないわけ | ログイン処理が簡単と言い切れるか 〜 フィッシング対策も忘れずに