脆弱性報奨金制度を開始しました - Cybozu Inside Out | サイボウズエンジニアのブログ
Cy-SIRT の伊藤です。 サイボウズは 2014 年 6 月 19 日に「脆弱性報奨金制度」を開始いたしました。 脆弱性報奨金制度 - プレスリリース http://group.cybozu.jp/news/14061901.html 今日はサイボウズが脆弱性情報報奨金制度を開始するまでの経緯をご紹介いたします。 脆弱性報奨金制度 脆弱性情報をどう取り扱うか 報奨金制度を設計する 多数の脆弱性情報を取り扱う体制を作る 自社アドバイザリの公開場所を集約する 脆弱性の認定方法を公開する 脆弱性識別番号を全社で活用する 終わりに 脆弱性報奨金制度 サイボウズが脆弱性報奨金制度を実施する目的は、未知の脆弱性情報をいち早く発見し、改修することです。 脆弱性報奨金制度は、海外の多くの企業で開催されています。 Vulnerability Reward Program - Google http://
APPSEC APAC 2014 で講演いたしました - Cybozu Inside Out | サイボウズエンジニアのブログ
Cy-SIRT の伊藤です。 少しの間お休みをいただいて、数日前に職場復帰しました。 2014 年 03 月 20 日に APPSEC APAC 2014 にて講演いたしました。 このような貴重な機会を与えていただいた APACSEC APAC の関係者の皆様に、心より感謝いたします。 講演について 講演にて利用した資料は、以下のホームページにて公開いただいています。 原稿を作成する過程では、最初に日本語版のプレゼン資料を作成しました。 その後多くの皆様に校正をお手伝いいただき、 翻訳済みの原稿を作成しています。お手伝いいただいた皆様、本当にありがとうございました。 当日は翻訳済みの資料でプレゼンを行ったのですが、参加いただいた全ての方が日本人の方でしたので、 逆に分かりにくい状況となってしまい申し訳ありませんでした。 数名の方から、日本語版の資料に関するお問い合わせをいただきましたので、
サイボウズ流・脆弱性情報との付き合い方
サイボウズは2014年2月26日から、常設型の「脆弱性検証環境提供プログラム」を開始した。その背景には、脆弱性情報の取り扱いに関する同社の経験と問題意識があった。 サイボウズは2014年2月26日から、常設型の「脆弱性検証環境提供プログラム」を開始した。同社のクラウドサービス「cybozu.com」と同等の環境を無償で提供し、そこで稼働しているサービスの脆弱性を検証、発見してもらうことが目的だ。セキュリティ研究者の他、同社サービスの導入を検討し、事前監査を行いたいと考えている大手企業向けにも提供する。 同社は2013年11月に、サービスの品質向上を目的とした脆弱性発見コンテスト「cybozu.com Security Challenge」を実施している。脆弱性検証環境提供プログラムはその経験を踏まえ、対象範囲を「kintone」から、「Office」「Garoon」「メールワイズ」や共通管
サイボウズグループ | ニュース | 国内ビジネスクラウド初※となる脆弱性検証環境の常設提供を開始 実運用と同等の環境で、安全に検証することがいつでも可能に
国内ビジネスクラウド初※となる脆弱性検証環境の常設提供を開始 実運用と同等の環境で、安全に検証することがいつでも可能に Tweet 140226_1.pdf（675KB） サイボウズ株式会社 (本社: 東京都文京区、代表取締役社長：青野慶久) は、弊社クラウドサービス「cybozu.com」上で稼働するサービスの脆弱性を発見するため、常設型の「脆弱性検証環境提供プログラム」を本日2014年2月26日（水）開始いたします。 ※当社調べ ■背景 当社が2013年の活動方針として掲げていた「信頼性の強化」の取り組みの一環として、外部のセキュリティ専門家の皆様のご協力を広く募るため、2013年11月に脆弱性発見コンテスト「cybozu.com Security Challenge」を実施いたしました。 コンテスト実施の際、実運用している環境と同じスペックでありながら回線もサーバーも物理的に分かれた
cybozu.com security challenge 評価ポイントいただきました
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 このところmixiの脆弱性検査とcybozu.com security challengeをやっていたのですが、それぞれで成果が一応出たので書いてみます。 まずはcybozu.com security challengeのほう。 cybozu.com security challengeというのは、サイボウズのcybozu.com上の「kintone」というサービスなどに存在する脆弱性を見つけ出すことを競うコンテストで、賞金が高額だったりしたせいか、セキュリティ界隈の方々のtwitterで話題になっていました。 コンテ
1位賞金は180万円、サイボウズの脆弱性コンテストで19件の脆弱性見つかる
サイボウズは2013年12月9日、同年11月に開催していた業務用クラウドサービスの脆弱性発見コンテスト「cybozu.com Security Challenge」の中間報告を公表した（プレスリリース、参考記事）。2週間のコンテスト期間内に、14人から計19件の脆弱性報告があったという。このうち、発見数の多さや速さを基に、10人に計300万円の報奨金を支払う。まだ集計中だが、優勝者は180万円を受け取れる見込みだ。
cybozu.com Security Challenge 結果速報 - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズの CSIRT（Computor Security Insident Response Team）、Cy-SIRT の伊藤と申します。 多くの方にご協力いただき、「cybozu.com Security Challenge」を開催いたしました。 国内商用クラウド初の脆弱性発見コンテスト「cybozu.com Security Challenge」を開催 Cybozu.com Security Challenege の結果速報を 2013 年 11 月 30 日に SECCON 富山大会の 前日勉強会にて、パネルディスカッションの中で速報いたしました。 本日は速報内容を、こちらのブログでもご紹介いたします。 結果速報 脆弱性情報の評価方法 今後の予定 結果速報 Cybozu.com Security Challenge 結果速報 from Akitsugu Ito 脆弱性情報の評価
Security Challenge の攻撃者をリアルタイム監視してみた - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、Hazama チームの萩原(@hagifoo)です。 cybozu.com Security Challenge へのご協力ありがとうございました。おかげさまで cybozu.com 及び kintone はより安心して使っていただけるサービスになりました。 当然、期間中は攻撃者のみなさまにより色々な攻撃を受けていたわけですが、我々もただ黙って見ていたわけではありません。kintone チームの刈川さん(@karihei)と攻撃を可視化するシステムを作って、セキュリティチームによるリアルタイム監視を行っていました。今回は、Security Challenge 用に作ったリアルタイム監視システムの概要とそこから学んだことを書いてみます。 モチベーション リアルタイム監視システム アーキテクチャ UI 学んだこと リアルタイムは空気感を伝える 大事なのはどう視せるか まとめ モチベ
サイボウズが脆弱性発見コンテストを実施したワケ
サイボウズは2013年11月11日から同月25日にかけての2週間に渡って、脆弱性発見コンテスト「cybozu.com Security Challenge」を実施した。「外からの知見を得て、サービスの品質向上につなげたい」というのがその動機だ。 「外からの知見を得て、サービスの品質向上につなげていきたい――」（サイボウズ グローバル開発本部 品質保証部 伊藤彰嗣氏）。 サイボウズは2013年11月11日から同月25日にかけての2週間に渡って、脆弱性発見コンテスト「cybozu.com Security Challenge」を実施した。参加者は、同社のPaaSサービス「kintone」と同等の検証用環境にログインして、未知の脆弱性がないかどうかを検査。脆弱性として認定されたものについて、その深刻度などに応じてサイボウズが賞金を支払う試みだ。賞金配分は、CVSS（Common Vulnerab
賞金付き脆弱性発見コンテスト「cybozu.com Security Challenge」 - SECCON 2013
【追記】2013.10.15 申し込み期限に達したため募集を締め切りました。たくさんのご応募ありがとうございました。 ■応募要項 ・氏名（非公開） ・メールアドレス（非公開） ・本コンテスト期間中に利用するニックネーム 以上を記載の上、下記メールアドレスにお送り下さい security-challenge-2013{at}seccon.jp ■参加条件 - 個人にて参加いただける方 企業、団体にて営利目的で大会に参加することはおやめください。 ただし、企業や団体に所属する個人が、大会に参加することを妨げるものではありません。 - サイボウズ株式会社社員および、関連会社社員ではないこと - 日本語でコミュニケーションできること - 検証環境にアクセスするための機材を用意できること。利用する機材に制限はありません。 - 後日送付する参加規約にご同意いただけること 脆弱性報告の対象となるサービス
空前の脆弱性ハンティングブーム - 葉っぱ日記
追記:このエントリーは以下の記事を極限までに参考にさせて頂きました。いつも著作権フリーでコピー改変OKな記事の提供ありがとうございます！それにしても、ほんとうに実力さえあればパクリだけで食べていける時代なんですね！ http://www.whitehackerz.jp/blog/?p=2245 自社製品やWebサイトの脆弱性を報告することで報奨金や謝辞が出るのは Google や Mozilla をはじめ海外では様々なものがありましたが、ここにきて日本でもいよいよ脆弱性報告に報奨金を支払う著名サイトが出てきました。 脆弱性報告制度 << mixi Developer Center (ミクシィ デベロッパーセンター) 未知のXSSやSQLインジェクションなどの報告者に：ミクシィが「脆弱性報告制度」開始、報奨金も用意 - ＠IT サイボウズグループ | ニュース | サイボウズ、国内商用クラウ
サイボウズ、“突貫工事”な脆弱性発見コンテストの舞台裏
サイボウズは2013年11月11日から11月25日まで、自社のクラウドサービスを対象に脆弱性発見コンテスト「cybozu.com Security Challenge」を開催する（関連記事）。同社のクラウドアプリ開発・実行基盤「kintone」について、コンテスト参加者が実際に攻撃してみて弱点を見つけるものだ。賞金総額は300万円。発見した脆弱性の数や深刻さに応じて評価ポイントを付けて、ポイントに応じて賞金を配分する。コンテストを運営しているサイボウズの伊藤彰嗣氏に舞台裏を聞いた（聞き手は白井 良＝日経コミュニケーション）。 脆弱性発見コンテストを開催する狙いは何か。 外部の方々と良い関係を築いて、サイボウズ全体のセキュリティレベルを上げていきたいという思いがコンテストの根底にある。 これまでもサービスごとに少なくとも年間1回は、外部事業者によるセキュリティ監査を実施してきた。もちろん社内
cybozu.com Security Challenge ができるまで - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズの CSIRT（Computor Security Insident Response Team）、Cy-SIRT の伊藤と申します。 多くの方にご協力いただき、「cybozu.com Security Challenge」を11月に開催することになりました。 国内商用クラウド初の脆弱性発見コンテスト「cybozu.com Security Challenge」を開催 今回はサイボウズの脆弱性対応に関するこれまでの取り組みをご紹介し、本コンテストを開催するに至った経緯などをお伝えします。 サイボウズの脆弱性対応 サービスにおけるセキュリティインシデントへの対応 Cy-SIRT の設立 Cy-SIRT の活動 cybozu.com Security Challenge 開催の経緯 開催に向けた準備 コンテストに向けて サイボウズの脆弱性対応 サイボウズの脆弱性対応として有名なものは
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サイボウズ、クラウドサービスの脆弱性検証環境を提供
別のページ・サイトに移動します｜サイボウズ株式会社
サイボウズ、自社クラウドサービスを題材にした脆弱性発見コンテストを実施
https://cybozu.co.jp/news/2013/130924.pdf
ハッカソンでkintoneを使おう！ – cybozu developer network
