【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
「起きたら全て消えていた」 Discordで横行する“サーバー凍結荒らし”、1万人参加サーバーが一夜で消えたその手口
※本記事はアフィリエイトプログラムによる収益を得ています 1万人以上の利用者がいた、国内の大手Discordサーバー（※）「Twitter2」が、悪意ある第三者の攻撃によって11月に凍結されていたことが分かりました。管理人のにゃるらさんに話を聞いたところ、かなり巧妙な手口で凍結させられており、場合によっては「防御不能」となることも。今後への注意喚起の意味も込め、どのような手口が使われたのかをまとめました。 ※同じ趣味を持つ人たちが参加するグループのようなもの 決まればガード不能、“荒らし”が使った手口とは 今回凍結させられた「Twitter2」は、ライターのにゃるらさん（@nyalra）が2021年の1月に立ち上げたDiscordサーバー。にゃるらさんは以前からTwitterで「だれも社会や政治の話をせず、毎日みんなでアニメを観たりゲームをしたりして1日がおわるマジで楽しいSNS（＝Twi
セキュリティを一切考慮しないMMORPGを開発するとどうなるか
どうもご無沙汰しております。本Blogが私の年1回の生存報告、兼、アドベントカレンダー用と相成って久しいですが、今年も一発恒例行事として筆を取らせていただきたいと思います。 今年、私が話題に取り上げますのは、とあるゲームです。Amazon Game Studiosという会社が開発・リリースしました、New WorldというMMORPGについてご紹介させていただきたいのです。ゲームの話題には一切興味がない読者諸君も、どうか少し我慢して、私に騙されたと思って最後まで話を聞いていただけませんでしょうか。そもそも、あのAmazonが開発したMMORPGというのですから、どれほどゲームに興味がなくても、技術に興味のある方でしたら、少しは興味深く感じられるのではないでしょうか？ けして後悔はさせませんよ。悪い方向にね。 さて、ゲームに何ら興味知識のない方にもわかるように少し解説を入れさせていただきます
macOSの暗号化zipファイルはパスワード無しで解凍できる - NFLabs. エンジニアブログ
はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本
「私はロボットではありません」はワンクリックでなぜ人間を判別できる？ 仕組みとその限界を聞いてきた
2021.02.16 「私はロボットではありません」はワンクリックでなぜ人間を判別できる？ 仕組みとその限界を聞いてきた WebサイトにIDとパスワードを入力するとき、ときどき「私はロボットではありません」にチェックを求められることがあります。 僕はロボットではないので、当然チェックを入れて認証を進めるわけですが……。でもちょっと待ってください。なぜクリックひとつで、人間かロボットかを判断できるんでしょう。 これはきっと、人間ではないなんらかの不正アクセスを防ぐ仕組みのはず。でもチェックを入れるくらい、プログラムを作ってなんやかんやすれば、シュッとできるのでは？ 「私はロボットではありません」は、どんな仕組みで人間とロボットを判別しているのか。もっといい方法はないのか。これまでの歴史的経緯も含め、情報セキュリティ大学院大学の大久保隆夫教授に聞きました。 気づかないうちに「人間かロボットか」
米国で発生した浄水システムの不正操作についてまとめてみた - piyolog
2021年2月5日、米フロリダ州タンパ近郊オールズマー市の浄水システムに対し、何者かがリモートから不正に操作を行い、システムで添加制御が行われていた水酸化ナトリウムの量を危険な水準に引き上げる行為が一時行われました。ここでは関連する情報をまとめます。 不正操作で水酸化ナトリウム設定値111倍 何者かによる侵入行為が発生したのはフロリダ州ピネラス郡 オールズマー市（Oldsmar）にある浄水施設にあるコンピューターシステム。（SCADAシステム） システムの不正な操作が行われたのは2回（現地時間で2021年2月5日8時頃と13時半頃）。 2回目の操作が行われた際、排水管洗浄に用いられる水酸化ナトリウムの設定値が100ppmから11100ppmに変更された。*1 その後の調査により、侵入者により3～5分間リモートアクセスが行われていたことが判明した。 オペレーターはこの異常な増量にすぐ気づき、
大人のおもちゃ「アナルプラグ」をハッキングして第三者が自由にコントロール可能に
by Alex-501 スマホと連動する女性用大人のおもちゃが密かに使用データを収集していたとして2016年に集団訴訟へと発展しましたが、今度は、「非常に私的なものであるはずの大人のおもちゃが第三者によって自在にコントロールされてしまう」という可能性が報告されました。 Hack a BT Low Energy (BLE) butt plug – Scubarda https://scubarda.wordpress.com/2017/10/17/hacking-a-bt-low-energy-ble-butt-plug/ Security Researchers Hacked a Bluetooth-Enabled Butt Plug - Motherboard https://motherboard.vice.com/en_us/article/ne788b/hackable-bluet
架空企業「オニギリペイ」に学ぶ、セキュリティインシデント対策
架空企業「オニギリペイ」に学ぶ、セキュリティインシデント対策：徳丸浩氏が8つの試練を基に解説（1/3 ページ） ECサイトやWebサービスでセキュリティインシデントを起こさないためには何をすればいいのか。2019年12月に開かれた「PHP Conference Japan 2019」で徳丸浩氏が、架空企業で起きたセキュリティインシデントを例に、その対策方法を紹介した。 ECサイトやWebサービスを提供する会社で発生したセキュリティインシデントに関するさまざまなニュースが後を絶たない。どうすればこうしたインシデントは防げるのだろうか。 『体系的に学ぶ安全なWebアプリケーションの作り方』（通称：徳丸本）の筆者として知られる徳丸浩氏（EGセキュアソリューションズ 代表取締役）は、2019年12月に開かれた「PHP Conference Japan 2019」のセッション「オニギリペイのセキュリ
【衝撃事件の核心】教員パソコンをカンニングで大阪医科大生逮捕 患者カルテなど４６万件流出（1/4ページ）
パソコン内のデータを別の場所に自動保存する「バックアップソフト」。インターネット上では無料ソフトも多数公開されている。本体故障時に役立つこの便利ツールを、あまりに不届きな用途に使った医大生が大阪府警に逮捕された。教員用のパソコンにこのソフトを仕込み、成績アップのためにデータをカンニングしていたのだ。抜き取られたデータの総量は、付属病院の患者カルテというプライベートな医療情報を含む約４６万件。大規模な情報流出だったが、当の医大生は事の重大性に気づいておらず、逮捕時、医大生は「これで逮捕？」と驚きの表情を浮かべていたという。 堂々インストール白昼堂々の犯行だった。 １月２５日、大阪医科大（大阪府高槻市）のある教室。休み時間に入室してきた４年の男子学生（２４）は教卓に近づくと、大学の備品のパソコンに記録媒体（ＵＳＢメモリー）を差し込んだ。 パソコン上で、バックアップソフトのインストールが始まった
九州商船の「弊社WEB予約サービスに対する不正アクセスに関する最終報告」は全てのエンジニアに読んでほしい - orangeitems’s diary
最終報告書を読む 九州商船株式会社のWEB予約サービスに対する不正アクセスについて、最終報告書が公開されました。報告書を読ませていただきましたが、その内容に関して大変勉強となることが多く含まれています。 弊社WEB予約サービスに対する不正アクセスに関する最終報告｜九州商船 ※ITmediaでニュースにもなっていましたので追記しておきます。 japan.zdnet.com 不正アクセスの目的は、linuxに不正侵入し仮想通貨マイニングを行うというものです。データを盗み出すのではなくマイニングというところが2018年っぽいです。ただCPUが100%に張り付くのですぐに見つかってしまっていますが。 この報告書について考察してみます。 原因についての考察 原因はvsftpdで使っているFTPプロトコルをANYで開けていて、ブルートフォースでパスワードが割れてしまったこと。かつ、OS/ミドルウェアの
ウェブアプリをソースごとパクる業者に対する対策 - Qiita
こんにちは。みなさんもウェブアプリをリリースしたあとに同業者にソースごとパクられたことってありますよね。難読化しても難読化されたまま同業者のサーバで動くので困ったものです。そこで、私がとった解析しずらい対策をまとめてみたいと思います。 前提 多機能な画面をJavaScriptでゴリゴリ作ったのにもかかわらず、HTMLやCSS、JavaScriptファイル一式を自社サーバにまるごとコピーして、ライセンス表記だけ書き換えて使うような業者を罠にはめるということを想定しています。 当然通信をリバースエンジニアリングする人もいるので、自社サーバでは防げないという前提です。 HTMLにはauthorメタタグ よくあるMETAタグで権利者を明記します。これは権利の主張もそうですが、JavaScript自体に権利者が認定した権利者でなければ無限ループを起こすという処理のためにも使用します。逆に、権利者が我
心臓ペースメーカー46.5万台が米で「リコール」--セキュリティに脆弱性
米食品医薬品局（FDA）は、Abbott（旧St. Jude Medical）のペースメーカーを「リコール」すると発表した。 機器のファームウェアをアップデートして、一連の深刻な脆弱性から保護する必要があるという。この脆弱性が悪用されれば、ペースメーカーのバッテリ寿命を消耗させて、攻撃者に対し、プログラムされた設定の変更や機器の心拍数および心拍リズムの変更さえ許してしまうおそれがある。 FDAは米国時間8月29日にセキュリティ勧告を出し、対象のペースメーカーを回収する必要があるとして注意を呼びかけた。ペースメーカーは利用者の胸に埋め込まれているため、患者は病院に赴いてソフトウェアパッチを適用してもらう必要がある。 RF接続対応のAbbott製ペースメーカーまたは心臓再同期療法ペースメーカー（CRT-P）を利用している患者に加え、現在病院でこれらの機器を使用して心不全や心拍リズムの異常といっ
どうやってソビエト連邦の子どもの贈り物が7年間もアメリカ大使を盗聴できたのか？
By NelC 第二次世界大戦後、在ソ連アメリカ大使の住居では「壁に耳がある」とささやかれていましたが、言葉とは裏腹に、盗聴器はまったく見当たりませんでした。結果的には、ボーイスカウトグループから寄贈された木彫りのアメリカ合衆国の国章の中に、この時代としては驚異的な技術で作られた盗聴器が埋め込まれていたのですが、見つかるまでには実に7年もの月日がかかりました。 How a Gift from Schoolchildren Let the Soviets Spy on the U.S. for 7 Years | Atlas Obscura http://www.atlasobscura.com/articles/how-a-gift-from-schoolchildren-let-the-soviets-spy-on-the-us-for-7-years 1946年にVladimir Le
違法コピーにクリエイティブな天罰を下す9つのゲーム
デジタルデータとして表現されたコンテンツの著作権を保護し、その利用や複製を制御・制限するのがDRMの役目ですが、これを駆使して違法コピーしたゲームをプレイしようとするユーザーにクリエイティブな天罰を下すゲームが存在します。 Caught you red-handed: 9 games with creative copy protection | Inventory | The Gameological Society http://gameological.com/2013/05/inventory-9-games-with-creative-drm-copy-protection/ ◆1：Game Dev Tycoon：2013 Game Dev Tycoonはゲーム開発スタジオをプレイヤーが運営する、というシミュレーションゲームです。同ゲームはDRMフリーで販売されていますが、開発元
五島夕夏がセキュリティのプロ 徳丸浩先生に一日密着！今すぐ使えるテクニックを盗んできました | NO MORE 情報漏えい
こんにちは、五島夕夏です！ 普段はフリーランスとしてイラストレーターやモデルのお仕事をしている私ですが、今日はNO MORE 情報漏えいプロジェクトの一員として、一日インタビュアーに挑戦します！ 突然ですが皆さんは、毎日の生活の中で「セキュリティ」についてどれくらい気をつけていることがありますか？ 私もTwitterやFacebookをよく利用しますし、お仕事もメールで受けています。PCを使う機会も多いので情報の管理には気をつけなきゃと思っているのですが、「具体的に何をどう気をつければいいのかわからない！」という人は私だけではないはずです。 ということで今回は、セキュリティのプロフェッショナルと呼ばれる徳丸 浩（とくまる ひろし）先生に密着取材！ プロがどんなところに気をつけているのか、私たちの生活にも活かせそうなテクニックを盗んできたいと思います！ 徳丸 浩（とくまる ひろし）先生 HA
Mozillaの報奨金制度で100万円ほど稼いだ話
This document summarizes Content Security Policy (CSP), a browser feature that helps mitigate cross-site scripting and other attacks. It discusses CSP's directives for controlling resource loading, browser support, syntax, and violation reporting. It also notes potential issues with abuse of CSP violation reports if not properly validated and formatted on the server-side.
ssig33.com - よく分からない人のためのセキュリティ
いろいろと原則論はあるんですが。昨今のアプリケーションは複雑化し、扱う情報はよりセンシティブになり、そしてより幅広く使われるようになっています。よって「安全な」アプリケーションを作るために必要な知識はますます増える傾向にあります。 よく分かってない人は以下のことにとりあえず気をつけましょう 1. なるべく自分で作らない これは最も重要なことです。検索する、他人に聞く、自分で考えない。これは重要です。大抵の問題は他人が作ってくれた解決策を適用できます。 例えばセキュアな問合せフォームを作ることにしましょう。気をつけるべきことは以下のことぐらいでしょうか。 送信内容の確認画面を表示する場合、ユーザーの入力した値は適切にエスケープするように 送信内容をアプリケーションの DB に格納する場合には SQL インジェクションを防がなければならないので、プリペアドステートメントを用いる CSRF 対策
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
【イニシャルB】［HowTo］中国のグレートファイアウォールを突破する方法 学術的アプローチで自由なインターネットに挑む「VPN Gate」
偶然にも500万個のSSH公開鍵を手に入れた俺たちは - slideshare
