GitHub Actionsにおける脅威と対策まとめ
はじめに こんにちは、サイボウズ24卒の@yuasaです。 サイボウズでは開発・運用系チームに所属する予定の新卒社員が研修の一環として、2週間を1タームとして3チームの体験に行きます。新卒社員の私が生産性向上チームの体験に行った際に、チーム内でGitHub Actionsを利用する際の脅威と対策について調査を行い、ドキュメント化した上で社内への共有を行いました。本記事では、そのドキュメントの一部を公開します。 対象読者 本記事の主な対象読者としては、以下のような方を想定しています。 GitHub Actionsを組織で利用しているが、特にセキュリティ対策を実施していない方 GitHub Actionsを組織で利用しており、部分的にセキュリティ対策を実施しているが、対策が十分かどうか分からない方 本記事がGitHub Actionsのセキュリティ対策を検討する上で参考になれば幸いです。 本記
脆弱性報奨金制度 通年ではじまります ＆ 2022 振り返り - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、Cy-PSIRTの久保です。本記事では報奨金制度の通年実施のご案内と、昨年分の振り返りについてお知らせしたいと思います。 サイボウズ脆弱性報奨金制度とは サイボウズ脆弱性報奨金制度は、弊社サービスに存在する脆弱性を早期に発見・改修することを目的とする制度です。対象製品の脆弱性を報告いただいた方に、謝礼として報奨金をお支払いしています。検証に際して参加者ごとに専用の環境を提供しており、本番環境への影響を気にすることなくご参加いただけます。 cybozu.co.jp 脆弱性報奨金制度 (通年) 期間 2023年4月21日(金) から通年で実施 今年から年度間の休止期間を挟まず、通年での実施となります。 ルール 脆弱性報奨金制度のルールは脆弱性報奨金制度ルールブックおよび、脆弱性認定ガイドラインをご覧ください。また、対象製品はサイボウズ脆弱性報奨金制度の「対象となる製品・サービスおよ
OpenTelemetryやGoのサプライチェーンセキュリティ対策の記事など: Neco Weekly (2023-04-14号)
OpenTelemetryやGoのサプライチェーンセキュリティ対策の記事など: Neco Weekly (2023-04-14号) Neco Weekly (2023-04-14号) サイボウズ Neco チームでは、 Neco Weekly という「最近気になる Kubernetes や Cloud Native 関連のネタを共有する会」を社内で開催しています。 本記事は共有会の中で紹介したネタをまとめたものです。 今回は第29回目の記事となります。 👀 Notable Articles OpenTelemetry Up and Running OpenTelemetry における分散トレージングの概要、各種コンポーネントの役割、デプロイ方法、OpenTelemetry Operator, 実際のアプリケーションでトレーシングを行う方法などが紹介されています。 さらに Context
「やらないよりマシ」 徳丸氏が語る“セキュリティチェックシートの問題点”
企業を狙ったサイバー攻撃は複雑化、巧妙化している。特にサプライチェーンを狙った攻撃は増加傾向にある。情報処理推進機構（IPA）が2023年2月28日に公開した「情報セキュリティ10大脅威 2023（組織）」では「サプライチェーンの脆弱（ぜいじゃく）性を悪用した攻撃」が第2位にランクインした。 サプライチェーンセキュリティ対策が難しいのは「自社だけでは守れない」ことだ。ビジネスが複雑化している中、サイバー攻撃者は中堅・中小企業のセキュリティ対策が十分ではない部分を突いてくる。これに対し、企業はどのように対策を講じるべきか。 アイティメディア主催のオンラインイベント「ITmedia Security Week 2023 春」に、業界のご意見番であるEGセキュアソリューションズの徳丸 浩氏（取締役CTO）が登壇。「古くて新しいサプライチェーンのセキュリティ問題、実のところどうすればよいか」と題す
ISMAP概要（監査編）。ISMAPの監査はどのようになされるか解説します。｜サイボウズのセキュリティ室
ISMAP 概要（監査編）前回の記事では、ISMAP制度について紹介をさせていただきました。今回はISMAPを自社のクラウドサービスの利用基準として使えるか検討されている方、並びにISMAPクラウドサービスリスト（以下、単にリストとします。）への登録を目指すクラウドサービス事業者様に参考となるような監査の実際のところを解説したいと思います。 前回の記事(制度編）はこちら。 ポイントこの記事ではポイントを以下の３つに絞って解説します。 監査機関による監査を受ける必要がある 要求事項の多くは国際的な規格から抜粋されたものである 社内のルールと、ルールの運用状況が確認される 監査機関による監査リストに掲載されるためには、監査機関による監査を受ける必要があります。監査機関とは、どのような組織でしょう。 監査機関の要件監査機関になるためには、日本セキュリティ監査協会による評価を受ける必要があり、セキ
ISMAP概要（制度編）。クラウドサービスの安全性を評価する制度ISMAPの制度内容を中心に紹介します。｜サイボウズのセキュリティ室｜note
ISMAP概要（制度編）。クラウドサービスの安全性を評価する制度ISMAPの制度内容を中心に紹介します。 各政府機関がクラウドサービスを調達する際の基準として、2020年6月に運用を開始した「政府情報システムのためのセキュリティ評価制度（通称：ISMAP（イスマップと読みます））」を紹介します。DX推進のため、クラウドサービスを検討しておられる方に、わかりやすく制度概要をお伝えすることで、クラウドサービスを調達する際にISMAPクラウドサービスリストから選定することの有効性をお伝えします。また、ISMAPクラウドサービスリストへの登録を目指すクラウドサービス事業者様にも、ISMAP登録の検討材料になるように解説したいと思います。後編はこちらです。 「クラウド・バイ・デフォルト原則」とは？各政府機関が情報システムを新規に導入するときには、まずはクラウドサービスの利用を検討しましょう！という方
製品・プロダクトのセキュリティを守るチーム（PSIRT）は何をする？PSIRT Services Framework 紹介（後編）｜サイボウズのセキュリティ室
中編 では、脆弱性の発見、トリアージ・分析について、紹介しました。今回は PSIRT 脆弱性に対応すること、脆弱性公開すること、PSIRT のトレーニングについて紹介します。より詳しく知りたい場合は、P本（日本語版）をお読みください。 前回の記事（中編）はこちらです↓ 対策対策とは、発見された脆弱性に対してパッチなどの対策版をリリースするすることや、特定のリクエストをブロックするなどの緩和策を公開するなどで脆弱性の影響を受けないようにすることです。 対策のマネジメント計画製品のライフサイクルを管理しましょう。どのような製品をリリースしているのか棚卸し、サポートモデル・サポート期間を把握して、どの製品の脆弱性の対策が必要なのか把握しましょう。 対策版の提供方法を把握しましょう。パッチの手動適用、自動アップデートなど、提供方法、適用形態を把握しましょう。 提供間隔を決めましょう。一定の間隔でメ
製品・プロダクトのセキュリティを守るチーム（PSIRT）は何をする？PSIRT Services Framework 紹介（中編）｜サイボウズのセキュリティ室
前編 では、PSIRT のステークホルダ マネジメントについて、紹介しました。今回は PSIRT の実業務である、脆弱性を発見すること、脆弱性をトリアージと分析することについて紹介します。P本の日本語版は こちら です。 前編はこちらです↓ 脆弱性の発見脆弱性を攻撃者にみつけられ攻撃される前に、発見し対応することが製品のセキュリティ対策として重要です。どのように脆弱性を発見するのかサービス エリア 2 では、発見方法が記載されています。 窓口を準備する脆弱性を発見したセキュリティ研究者が迷わないよう、窓口を準備しましょう。窓口は、メールアドレスや Webフォームなどが考えられます。別の窓口（例えば、お客様窓口など）から連絡が来ることもあるので、PSIRT にエスカレーションされるようにしましょう。また、提出様式を定めておくことで、レポートを品質を保つことができます。（質の低いレポートは再現
製品・プロダクトのセキュリティを守るチーム（PSIRT）は何をする？PSIRT Services Framework 紹介（前編）｜サイボウズのセキュリティ室｜note
製品・プロダクトのセキュリティを守るチーム（PSIRT）は何をする？PSIRT Services Framework 紹介（前編） さまざまな製品・プロダクトがソフトウェアによって構成されています。ソフトウェアには脆弱性と呼ばれる不具合が含まれていることがあり、第三者から指摘を受けたり、攻撃を受ける場合があります。そのような製品に関するインシデントに対応するチーム（PSIRT）はどのようなことをしないといけないのでしょうか？PSIRT Services Framework が解説していますので、紹介します。 PSIRTとは？Product Security Incident Response Teams の略です。製品・プロダクトに関するセキュリティ インシデントに対応するチームで、さまざまな企業で設置が進み、話題となっているチームです。 PSIRT Services FrameworkP
サイボウズ青野氏とさくら田中氏対談 禁断の「チェックシート問題」について
さくらインターネットの田中氏は「クラウドサービスの利用が業務委託やアウトソーシングの延長として考えられていることも問題です。アウトソーシングサービスなど外注先に何かを委託する時に使われていたチェックシートを、クラウドサービスの利用でも使われていることにも疑問を感じます」と指摘する。 加えて、サービス事業者側のコスト問題もある。田中氏は「システム開発を外注する場合は1人月で数十万レベルの単価になりますが、クラウドサービスは1ユーザー当たり月額数百円、高くても数千円程度でしょう。チェックシートの個別対応コストを考えると、サービス事業者としては複雑なところです」ともコメントする。 田中氏のコメントに対して、青野氏は次のように意見する。 「結局、ユーザー企業からバラバラのフォーマットで届くセキュリティチェックシートの対応コストを誰が支払っているかというと、最終的には利用者が払うわけです。ユーザー企
脆弱性報奨金制度 2022 はじまります - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、Cy-PSIRTの久保です。 いよいよ2022年度のサイボウズ脆弱性報奨金制度が開始となります！ 本記事では今年度の概要や変更点についてご紹介したいと思います。 サイボウズ脆弱性報奨金制度とは サイボウズ脆弱性報奨金制度は、弊社サービスに存在する脆弱性を早期に発見・改修することを目的とする制度です。対象製品の脆弱性を報告いただいた方に、謝礼として報奨金をお支払いしています。検証に際して参加者ごとに専用の環境を提供しており、本番環境への影響を気にすることなくご参加いただけます。 脆弱性報奨金制度2022 期間 2022年4月22日(金) 10:00 〜 2022年12月16日(金) 23:59 [JST] ※2022年12月17日(土)以降もご報告を受け付けますが、適用されるルールは次年度の脆弱性報奨金制度のルールです。 ルール 脆弱性報奨金制度のルールは脆弱性報奨金制度ルールブ
あなたの「公開鍵暗号」はPKE? それともPKC? - Cybozu Inside Out | サイボウズエンジニアのブログ
初めに サイボウズ・ラボの光成です。 いきなりですがクイズです。次のうち正しい説明はどれでしょう。 SSHやFIDO2などの公開鍵認証はチャレンジを秘密鍵で暗号化し、公開鍵で復号して認証する。 ビットコインでは相手の公開鍵を用いてハッシュ値を暗号化して相手に送る。 TLS1.3ではサーバ公開鍵を用いてAESの秘密鍵を暗号化する。 答えはどれも間違いです。 公開鍵認証は、(デジタル)署名を使って相手先の正しさを検証するものであり、暗号化は行われません。 同様にビットコインもデータや相手の正当性を確認するために署名が用いられ、暗号化は行われません。 TLS 1.3ではRSA暗号の公開鍵を用いて暗号化する方式(static RSA)は廃止され、ECDH鍵共有された値を元に秘密鍵を生成し、AES-GCMなどの認証つき暗号で暗号化します。 公開鍵暗号とは いわゆる公開鍵暗号には大きく2種類の意味があ
kintone、Boxなどが“政府認定クラウドサービス”に セキュリティ評価制度「ISMAP」に追加
政府は9月13日、セキュリティ評価制度「ISMAP」にサイボウズのクラウド基盤「cybozu.com」、グループウェア「Garoon」、ノーコード開発ツール「kintone」、米Boxのクラウドストレージ「Box」を登録したと発表した。サイボウズとBoxの製品は初登録。今後、これらの製品は政府調達の対象品目となる。 Boxやサイボウズの製品に加え、NTTコミュニケーションズの企業向けデータ分析プラットフォーム「Smart Data Platform」、米OracleのIaaS「Oracle Cloud Infrastructure Platform as a Service」、パブリッククラウド「Oracle Cloud」の提供基盤をユーザー企業のデータセンター内に構築する「Oracle Exadata Cloud@Customer」も追加した。 ISMAPは、運用を担う情報処理推進機構（
サイボウズのクラウドサービスがISMAPに登録
サイボウズは9月14日、同社が提供しているクラウドサービスが「政府情報システムのためのセキュリティ評価制度（ISMAP）」において、政府が求めるセキュリティー要求を満たしているサービスであると認定。ISMAPクラウドサービスリストに登録されたと発表した。 ISMAPは、政府が求めるセキュリティー要求を満たすクラウドサービスをあらかじめ評価・登録することにより、政府の利用するクラウドサービスの調達を円滑にするための制度。クラウドサービス事業者は、管理基準に基づいたセキュリティー対策の実施状況について外部監査及びISMAP運営委員会による適合状況の審査を受けることが要求される。 サイボウズのクラウドサービスは2011年からサービスの提供を開始し、現在では行政機関にも利用されている。今後さらに行政機関におけるクラウドサービスの導入が進むなか、政府情報システムとして安全が評価されたクラウドサービス
サイボウズのクラウドサービスが「政府情報システムのためのセキュリティ評価制度（ISMAP）」に登録 | サイボウズ株式会社
サイボウズ株式会社（本社：東京都中央区、代表取締役社長：青野慶久、以下サイボウズ）は、当社が提供しているクラウドサービスが「政府情報システムのためのセキュリティ評価制度（以下：ISMAP、読み：イスマップ）」において、政府が求めるセキュリティ要求を満たしているサービスであると認定され、ISMAPクラウドサービスリストに登録されたことをお知らせいたします。 ISMAP対象サービス ISMAPクラウドサービスリストに登録されたサービスは、運用基盤cybozu.com（サイボウズドットコム）並びにcybozu.com上で提供するGaroon（ガルーン）及びkintone（キントーン）となります。 クラウドサービスリスト詳細ページ ISMAPとは ISMAPは、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録することにより、政府の利用するクラウドサービスの調達を円滑にする
2019年 報奨金制度を振り返って - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。Cy-PSIRT(Cybozu Product Security Incident Response Team)の福永です。 本エントリでは 2019年に実施した報奨金制度の結果 参加者からのご要望 について、ご紹介いたします。 2019年に実施した報奨金制度の結果 定量情報 2019年の定量情報は、次の通りです。*1 着信数認定数(暫定)報奨金支払金額(暫定) 489件193件15,348,000円 着信数が増加した要因 着信数は前年度と比較して、40％増えています。 2019年4月20日(土)、21日(日)に2年ぶりのバグハン合宿2019を開催し、そのイベントで多数報告いただいたことが、着信数の増加に繋がりました。 489件中196件がバグハン合宿でのご報告です。 認定数が増加した要因 認定数は前年度と比較して、26％増えています。 複数製品で発生する脆弱性をバグハンターの
脆弱性報奨金制度 2020 始まります - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。Cy-PSIRT の長友です。2019 年度の報奨金制度では、たくさんのバグハンターの皆様にたくさんのご報告をいただきました。サイボウズ製品のセキュリティ品質向上への取り組みにご協力いただき大変感謝しています。 このエントリーでは、2020 年度の脆弱性報奨金制度についてご紹介します。 脆弱性報奨金制度 2020 サイボウズ脆弱性報奨金制度が開始して 7 年目に突入しました。今年度の制度概要は以下の通りです。 詳細につきましては、脆弱性報奨金制度のページをご確認ください。 脆弱性報奨金制度の実施期間 2020 年 4 月 24 日（金）～ 2020 年 12 月 18 日（金） ※終了日以降もご報告を受け付けますが、次年度の報奨金制度のルールが適用されます。ご注意ください。 制度のルール 制度のルールに関しては、脆弱性報奨金制度ルールブックおよび脆弱性認定ガイドラインをご確認く
ISMSクラウドセキュリティ認証「ISO/IEC27017:2015」を取得 | サイボウズ株式会社
Garoon 製品サイト：https://garoon.cybozu.co.jp/ サイボウズ株式会社が提供する、国内外5,400社260万人に導入されている中堅・大規模組織向けグループウェアです。数万人規模でも安心して利用できる高いスケーラビリティと使いやすさを両立。全社の情報共有基盤としての役割はもちろん、部門や拠点間の垣根を超えたコミュニケーションを促進し、チームの力を最大限に引き出します。多言語・タイムゾーン対応で企業の国際化を強力にサポートします。 kintone 製品サイト：https://kintone.cybozu.co.jp/ サイボウズ株式会社が提供する、業務アプリ開発プラットフォームです。営業の案件管理、お客様からの問い合わせ履歴やクレーム対応の管理、プロジェクトの進捗やタスク管理、従業員の業務日報など、お客様の用途に合わせた業務アプリの作成が可能です。アプリケーショ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
バグ見つけたハッカーに報奨金２００万円…「バグバウンティ」国内では抵抗感も
Outcomes from Open Source Software Security Summit in Japan – Open Source Security Foundation