Scanning for AWS Security Issues With Trivy
What is Trivy?Trivy is a multifunctional, open-source security scanner. It can scan various targets (filesystems, containers, git repositories and more) in order to discover security issues (vulnerabilities, misconfigurations, and secrets). In short, Trivy can find a bunch of different types of security issue in pretty much anything you point it at, for free. Scanning AWSAs of this week, Trivy v0.
Safe DOM manipulation with the Sanitizer API | Articles | web.dev
Safe DOM manipulation with the Sanitizer API Stay organized with collections Save and categorize content based on your preferences. The new Sanitizer API aims to build a robust processor for arbitrary strings to be safely inserted into a page. Applications deal with untrusted strings all the time, but safely rendering that content as part of an HTML document can be tricky. Without sufficient care,
「よくこんな方法思いついたな」とあなたが思わず唸ってしまったハッカー (クラッカー) の手口は何ですか？規模や手口の種類、攻撃の成否などは問いません。 - Quora
最近、と言うか少し前に、ブルージャックを検証しました。 ブルーツースがペアリングモードでなくても、強制的にペアをさとられることなく、マイクもGPSも、上手くやれば通信もハックできるというものです。 そもそも、ブルーツースの通信は、ベアリングしてしまえば、相手の電話帳も吸い出せますし、仕組み上、鍵のローテーションを行なわないので、範囲が限られていますが、無防備なのです。 また同じ電波帯を使っていて、取捨選択して、繋がっているので、他のデバイスの通信を拾っています。 試しに満員電車で、どのくらいの人が、デバイス表示をオンにしているか調べると、10以上のデバイスが表示されます。 まあ、ブラックハッカーなら、入れ食いです。 スクリプトを実行するだけで、気がつかれずに乗っ取れるのですが、この脆弱性をついた手法を実現したホワイトハッカーには脱帽です。 因みに、ブルーツースもバージョンアップなどで、この
Redirecting…
Redirecting… Click here if you are not redirected.
オリジン間リソース共有 (CORS) - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection サイトの安全化 HTTP Observatory HTTP アクセス制御 (CORS) HTTP 認証 HTTP キャッシュ HTTP の圧縮 HTT
Trivy を利用した Docker Container・Image の脆弱性検知入門 - @teitei_tk Blog
tl;dr trivyを利用することで簡単にDocker コンテナの脆弱性の検知をすることが出来る。 OSライブラリからアプリケーション依存のライブラリまで検知が可能 SimpleかつREADMEが豊富で導入の敷居が低い。 CIに組み込むことで DevOps から DevSecOps への移行を加速することが可能。 コンテナの脆弱性 2020/08/06 現在、Dockerを利用するしてプロダクトの環境を作る事がデファクトスタンダードになっている。 どの会社に行ってもセキュリティは最重要視されていると言っても過言ではないが、Docker イメージを生成 or 取得し、そのまま利用を続け、時間が経ち、利用しているライブラリに不具合が生じているのにも関わらず、知らないうちに脆弱性があるContainerを利用しているケースは少なくない。 脆弱性を放置して起きたインシデントは具体的に下記のような
Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる | おそらくはそれさえも平凡な日々
追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST
黒塗りのDNS
黒塗りのDNS (萎縮編) ～共用サービスの闇～ Apr 23, 2019 ssmjp E-ONTAP.COM 鈴木常彦 (@tss_ontap) ある日の我が職場 (恥) 私(TEL) 「m.chukyo-u.ac.jp 見てみれ！ 中華料理屋に乗っ取られてるぞ www」 情報システム 「え！...これは...調べます...」 後日 「レンタルサーバ返した後 A レコード削除申請がなかったようです!」 危険な忘れ物 - Floating Domainname 借りたサーバ (IPアドレス) にリソースレコードを向けたまま解約してはいけない Subdomain Takeover Attack 放置された CNAME の先は狙って再登録されうる、、、 old-service.example.jp IN CNAME orphan.cdn.example.com fan.football.son
Docker Hub Database Hack Exposes Sensitive Data of 190K Users
HomeNewsSecurityDocker Hub Database Hack Exposes Sensitive Data of 190K Users An unauthorized person gained access to a Docker Hub database that exposed sensitive information for approximately 190,000 users. This information included some usernames and hashed passwords, as well as tokens for GitHub and Bitbucket repositories. According to a security notice sent late Friday night, Docker became awa
俺のSMS認証がこんなに非推奨なわけがない
NISTは本当にSMS認証を非推奨としたのか。真実を追って我々はジャングルに飛び込んでいった... 8/1 13:30: 構成を一部変更・追記
納得いくはずがないという納得。｜古賀史健
ぼくは、マンガ『ジョジョの奇妙な冒険』を読んだことがない。 なので、ネット上でよく引用されている「な…何を言っているのかわからねーと思うが」「あ…ありのままにいま起こったことを話すぜ！」のセリフが、誰による、どういうシチュエーションでの発言なのか、なんにも知らない。 そのうえでまあ、昨夜というか今朝方のぼくに起こったことを、ありのままに話そう。いや、話すぜ。何を言っているのかわからねーと思うが。 Amazonのアカウントを乗っ取られた。 いかにも転売しやすそうな、スピーカーと増設用メモリと、なぜか水筒を購入されていた。犯人の（少なくとも荷物の受取先の）住所はわかっている。電話番号もいちおう書いてある。けれども警察沙汰にはできないっぽい。せいぜい注文をキャンセル扱いし、メールアドレスやパスワードの変更で終わらせるしかないらしい。それがもっとも得策らしい。なぜか。何を言っているのかわからねーだ
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
セキュリティの報告先を記述する、security.txtの提案仕様 (RFC9116) - ASnoKaze blog
Webサイトのセキュリティリスクを発見したものの、連絡先が適切に公開されていないがために、結局報告されず脆弱性が放置されるケースがあるようだ(国内だと、IPA脆弱性関連情報の届出受付もあるが) 発見者が脆弱性等の報告を出来るような情報を、Web作成者が提供できるようにする仕様がIETFに提出されている。 この「A Method for Web Security Policies」という提案仕様では、security.txtをドメイン直下のURLに配置し、連絡先などを記述するようになっている。 security.txt security.txtは例えば以下のとおりである # Our security address Contact: security@example.com Contact: +1-201-555-0123 Contact: https://example.com/secur
Canadian firm pays $425,000 to recover from ransomware attack | IT World Canada News
A major Canadian company was forced to pay $425,000 in Bitcoin over the weekend to restore its computer systems after suffering a crippling ransomware attack that not only encrypted its production databases but also the backups as well. “They literally had no choice but to pay” because the backups were frozen, said Daniel Tobok, CEO of forensics firm Cytelligence, which is helping with the investi
%25E3%2582%25BB%25E3%2582%25AD%25E3%2583%25A5%25E3%2583%25AA%25E3%2583%2586%25E3%2582%25A3%25E3%2581%25A7%25E9%25A3%25AF%25E9%25A3%259F%25E3%2581%2584%25E3%2581%259F%25E3%2581%2584%25E4%25BA%25BA%25E5%2590%2591%25E3%2581%2591%25E3%2581%25AE%25E5%25BF%2583%25E3%2581%25AE%25E6%258C%2581)
(翻訳)セキュリティで飯食いたい人向けの行動指針 - Got Some \W+ech?
(7/21) コメント欄の指摘を受け英訳追記 前文 本記事はGoogleのセキュリティ担当者 Parisa Tabriz氏(異名: Security Princess)のSo, you want to work in security?を翻訳したものです。 go for it!— Parisa Tabriz (@laparisa) 2016年12月25日 うっ…半年以上前… 意訳したりわからない部分もあったので、原稿の全てを反映できているか自信はありません。元ブログも是非ご一読ください。 —————————————- ここから翻訳 ————————————————- セキュリティ分野(コンピュータ、情報、サイバー…etc)でキャリアを積みたい人からメールをもらうことがある。素晴らしいことだと思う。テクノロジーを安全にしていくパション、創造性を持ち、ハードワークをこなせる仲間はいつだって必要
Archive - Tech TLDR;
March 202301: Transcribing Speech to Text with Python and OpenAI API (Whisper) February 202126: Load Testing Google Cloud PubSub October 201923: How to Manually Add Phrases to Localize.js July 201908: Golang “Set” Data Structure Example 03: Work Hard and Advertise (4)April 201907: Git – Merge Two or More Repositories Together and Keep History (2)January 201908: One Year Without Self-Promotion (2)D
続報・欧州を中心に甚大な被害、暗号化ランサムウェア「PETYA」の活動を詳細解析 | トレンドマイクロ セキュリティブログ
本ブログでも既報の通り、欧州を中心に暗号化型ランサムウェア「PETYA（ペトヤまたはペチャ）」の亜種による大規模な攻撃が確認されています。トレンドマイクロでは今回の事例で使用された PETYAの活動について、より詳細な解析を行いました。その結果、「MS17-010」脆弱性（通称：Eternal Blue）の利用以外にも、PsExec や WMICと言ったマイクロソフトが提供する正規ツールを利用したネットワークワーム活動など、PETYA が持つ非常に巧妙な活動が明らかになりました。 ■PsExec と WMIC を利用したネットワークワーム活動 ネットワーク上における PETYA の拡散は EternalBlue によるものだけではありません。マイクロソフトが提供する正規ツール PsExecと、Windows の正規プロセスであり管理技術の中核を担う「Windows ManagementIn
Stupidly Simple DDoS Protocol (SSDP) generates 100 Gbps DDoS
Stupidly Simple DDoS Protocol (SSDP) generates 100 Gbps DDoS06/28/2017 Last month we shared statistics on some popular reflection attacks. Back then the average SSDP attack size was ~12 Gbps and largest SSDP reflection we recorded was: 30 Mpps (millions of packets per second) 80 Gbps (billions of bits per second) using 940k reflector IPs This changed a couple of days ago when we noticed an unusual
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AWSでのセキュリティ対策全部盛り[初級から中級まで]![AWSでのセキュリティ対策全部盛り[初級から中級まで]](https://cdn-ak-scissors.b.st-hatena.com/image/square/b014e56d2eedba5a43b5c5f7524c22b8b030d6e1/height=288;version=1;width=512/https%3A%2F%2Ffiles.speakerdeck.com%2Fpresentations%2Faba22209644646ee9ff21ef72d5a439d%2Fslide_0.jpg%3F14040252)
Predicting, Decrypting, and Abusing WPA2/802.11 Group Keys