はじめに こんにちは植木和樹＠上越妙高オフィスです。 利用しているEC2を踏み台にした外部への攻撃が行われていると、攻撃先のサーバー管理者からAWS宛に不正利用報告（Abuse）が送られる場合があります。AWSでは報告を受けて、そのサーバー（IPアドレス）の利用者宛に警告メール（Abuse Report）で通知します。 今回、とあるAbuse Reportが届いた際の攻撃手段の調査をメモしたので、主に有用だったlsofとstraceコマンドの使い方についてまとめました。 EC2マネージメントコンソールで状態を確認する まず確認するのはマネージメントコンソールです。AWSから通知のあったIPアドレス（Elastic IP）から、EC2インスタンスを特定します。 次に各種CloudWatchのメトリクスを確認します。外部への攻撃を行われるとNetwork Outが極端に高くなる傾向があります。

タグ 美肌ELB時計CloudFrontAmazon WorkSpacesAWS S3SWX2200xdebug開発エクセル、小技、文字列操作放火イエモンSIMフリーSESVPNAWS CLIRTX1100防災ゆるいハッキングセミナーロードバランサ現場猫研修クリスマスMuninGeoIPCentOS7thinkpad x240 修理SWX2300小技ALB地震セミナー日本工学院OpenCVApacheRTX1210XAMPPDoSひったくりExcel乾燥天皇RAIDWindows AzureH2OおりょりょんCS-QR30F負荷分散ハイヒール、ルブタン、美しいインドネシア、料理、美味しいオートクチュールAndroidウェディングVisual Studio 2017windows10NFSSSL母の日ボディケアTHE　YELLOW　MONKEY保湿機種変更ACMYAMAHA RTXFuelP

ガートナーでは2015年3月、ユーザー企業に対して「この2年間に情報システム部門で、情報セキュリティの専門職を採用したか」と聞くアンケート調査を実施した。 その結果、採用計画すらなかった企業が実に48.9％にものぼった。これは企業が、セキュリティ人材は必要ないと考えているということではなく、「既にセキュリティ人材は自社の中にいる」と認識している結果だと我々は見ている。だが果たしてそうだろうか。 一方、セキュリティ人材を採用した企業は29.1％にのぼった。ただし、その内訳を詳しく見てみると、ユーザー企業からユーザー企業、あるいはベンダーからベンダーへの転職による採用で、ベンダーからユーザー企業に転職したセキュリティ人材はほとんどいなかった。 これが、これからの日本企業における1つの課題になると思われる。つまりプロフェッショナルな人材が、なかなか民間企業には下りてきてくれないということだ。ユー

セキュキャン 2015 高レイヤートラック(Jxck) 本資料は、セキュキャン 2015 高レイヤートラックの講義資料です。 セキュキャン参加者であるセキュリティエンジニアの卵を対象に、 Web のセキュリティの知見が、実際どのように Web アプリ開発に反映されているか、もしくはどう反映すべきかを、フレームワークの視点から解説することを目的としています。 将来、 Web のセキュリティに興味を持ったエンジニアが、その知見を多くの開発者に啓蒙する手段として、フレームワークに反映するというのは非常に有効な方法です。 ここではその実例として Rails を例にとり、 Rails がこれまでに積み上げてきたセキュリティに関する知見を振り返るとともに、フレームワークとしてそれをどう取り入れているかを解説します。 Intro Web アプリケーションを開発する場合、 Web アプリケーションフレーム

: MWS Datasets 2014に同梱している研究用データセット : 過去に同梱していたが、MWS Datasets 2014には同梱していない研究用データセット [参考文献] MWS Datasets 神薗雅紀, 他: マルウェア対策のための研究用データセット ～ MWS 2013 Datasets ～, 情報処理学会シンポジウムシリーズ, Vol.2013, CSS2013(MWS2013), (Oct. 2013) 畑田充弘, 他: マルウェア対策のための研究用データセット ～ MWS 2011 Datasets ～, 情報処理学会シンポジウムシリーズ, Vol.2011, CSS2011(MWS2011), (Oct. 2011) 畑田充弘, 他: マルウェア対策のための研究用データセット －MWS 2010 Datasets－, 情報処理学会シンポジウムシリーズ, Vol.

2013年6月23日に開催された「セキュリティと機械学習」の資料となります。 https://atnd.org/events/40918 http://matsudalab.office-server.co.jp/security_machine_learning/saml_index.html セキュリティについては、どうしても人の判断が入る部分がシステムに存在し、 そこでの判断にトレードオフがあるため人的リソースを減らす方向で機械学習を活かしたシステムを組むことができると筋が良さそうに思えるという主張です。 Jubatusに関するスライドは情報が古い／オフィシャルブログ等の方が充実しているため削除しています。Read less

こんにちは。田中（邦）です。 今回は、”The most advanced penetration testing distribution,ever.” なLinuxディストリビューションであるKali Linuxを使ってウェブサービスの脆弱性をテストしてみます。 VagrantとVirtual Boxのインストール VagrantとVirtualBoxはインストールしてあることが前提です。 インストールしていない方はまずインストールしておいてください。 Oracle VM VirtualBox Vagrant ついでにプラグインのvagrant-vbguestも入れておくと便利だと思います。 Kali Linuxのインストール まずはKali Linuxをインストールしないと始まりません。 こちら↓を参考に日本語版のKali Linuxをインストールします。 wasabeef/vagr

Nmap Nmap（Network Mapper）は定番的なネットワークスキャナーであり、ネットワーク調査やセキュリティ監査を行う為のオープンソースのツールです。豊富なオプションがあります。 Nmap 利用方法 nikto Webサーバと、そのWebサーバで稼動している「既知のWebアプリケーション（※）」に対して、既に公表されているセキュリティホールやセキュリティ上で問題のある設定を、辞書ベースでスキャンできるツールです。 ※世間に一般的に知られており、利用されているWebアプリケーションソフトウェアの事を指します。個別用途で開発されたWebアプリケーションソフトウェアは含みません。 nikto 利用方法 OWASP Zed Attack Proxy （ZAP） Webアプリケーションの脆弱性を診断できるツールです。自社開発したWebアプリケーション等に対して利用するケースが多いと思いま

Malicious actors are abusing generative AI music tools to create homophobic, racist, and propagandic songs — and publishing guides instructing others how to do so. According to ActiveFence, a service…

THC-Hydraでアタックを試してみる際、crunchコマンドでリストを作ってブルートフォースも良いのだが、やはり辞書攻撃を試してみるのが常套手段。となると、次に欲しくなるのは辞書ファイル。 お手軽な例では、Linuxのpasswdコマンドが利用しているcracklibのワードリストが良い。 通常、/usr/share/dict/linux.words にあり、40万個ほどのwordが詰まっている。しかしまぁ、これよりもう少しアングラな香りがする辞書が欲しい(よね?)。 ということでここでは、OpenWallが配布している辞書ファイルを紹介する。なお実際にhydraでアタックするとどのくらいの時間がかかるかは、前の記事(Kali Linuxのhydraでブルートフォースを試す - ろば電子が詰まっている)を参照してください OpenWallとは OpenWallは有名なパスワードクラッカ

WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで