初めてのAPT攻撃にあわてないための秘伝の書、JPCERT/CCが一般にも公開 
講演資料一覧 - JPCERT コーディネーションセンター
2024 2023 2022 2021 2020 2019 2018 2017 2016 2015 2014 2013 2012 2011 2010 2009 2008 2007 2006 2005 2004年以前 JPCERT/CCが過去に講演などで使用した資料の中で一般に公開できるものを用意しています。 <注意> 以下の各文書で紹介しているソフトウェア、バージョン、URL等は、各文書の発行時点のものであり、変更されている可能性があります。 ※「デジタル署名付」と表示されている PDF 文書は GlobalSign CA for Adobe より発行されたデジタル証明書により真正性が証明されております。 Adobe Reader バージョン 9.0 以降をご使用いただくことで、PDF 文書の真正性を検証することができます。 2024
脆弱性を識別するCVE番号の新体系による採番のお知らせ
脆弱性を識別するCVE番号の新体系による採番のお知らせ 米国MITRE社*1が管理運営する脆弱性の識別子CVE (Common Vulnerabilities and Exposures)*2番号の体系が、2014年から年間1万件を超える脆弱性にも対応できるよう拡張されました。 CVEを参照している組織等においても、固定長のCVE番号を前提とした機械処理をしている場合には、誤動作する可能性があるため、米国MITRE社は、2014年1月15日、CVEのWebサイト上で新番号体系による運用を開始している旨のNotificationを公表、7月15日には、CVE番号体系変更のReminder Notificationを公表しました。そして、2014年9月17日、CNAをはじめとするCVE利用者や脆弱性情報を参照するエンドユーザに至るまで、このCVE番号の新体系を広く周知すべく、改めてプレスリリー
OpenSSL の脆弱性に関する注意喚起
各位 JPCERT-AT-2014-0013 JPCERT/CC 2014-04-08(新規) 2014-04-11(更新) <<< JPCERT/CC Alert 2014-04-08 >>> OpenSSL の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140013.html I. 概要 OpenSSL Project が提供する OpenSSL の heartbeat 拡張には情報漏えいの 脆弱性があります。結果として、遠隔の第三者は、細工したパケットを送付す ることでシステムのメモリ内の情報を閲覧し、秘密鍵などの重要な情報を取得 する可能性があります。 管理するシステムにおいて該当するバージョンの OpenSSL を使用している場合 は、OpenSSL Project が提供する修正済みバージョンへアップデートすること をお勧めしま
JPCERT/CCの「HTML5(中略)調査報告書」が安全になっていた - 葉っぱ日記
JPCERT/CCは「HTML5を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」(PDF))を以下のURLから公開しています。 http://www.jpcert.or.jp/research/html5.html 「HTML5を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」はお勧めである、とするエントリを書こうかと思い、久しぶりにJPCERT/CCのトップページを確認すると改定されていました。 古いJPCERT/CCのトップページは右肩のお知らせ欄で「HTML5(中略)調査報告書」をリンクしていました。国内情報セキュリティの向上を目指しているのがJPCERT/CCですが、多数のお知らせに流れて「HTML5(以下略)」が消えてしまいました。はっきり言うと当然でした。 しかし、今も「HTML5を利用したWebアプリケーションのセキュリティ問題に関す
オープンリゾルバー確認サイト
JPCERT/CCでは、オープンリゾルバー(外部の不特定のIPアドレスからの再帰的な問い合わせを許可しているDNSサーバー)となっているDNSサーバーが日本国内に多く存在していることを確認しています。 オープンリゾルバーは国内外に多数存在し、大規模なDDoS攻撃の踏み台として悪用されているとの報告があります。 また、DNSサーバーとして運用しているホストだけではなく、ブロードバンドルーターなどのネットワーク機器が意図せずオープンリゾルバーになっている事例があることを確認しています。 本確認サイトでは、お使いのPCに設定されているDNSサーバーと、本確認サイトへの接続元となっているブロードバンドルーターなどのネットワーク機器がオープンリゾルバーとなっていないかを確認することが可能です。 本サイトの詳細についてはこちらをご参照ください。 ただいま処理中です。しばらくお待ちください。 ※判定処理
HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題
Apache HTTP Server のサービス運用妨害の脆弱性に関する注意喚起
各位 JPCERT-AT-2011-0023 JPCERT/CC 2011-08-31(初版) 2011-09-15(更新) <<< JPCERT/CC Alert 2011-08-31 >> Apache HTTP Server のサービス運用妨害の脆弱性に関する注意喚起 Apache HTTP Server DoS Vulnerability https://www.jpcert.or.jp/at/2011/at110023.txt I. 概要 Apache HTTP Server には、サービス運用妨害 (DoS) の脆弱性があります。 遠隔の第三者が細工した HTTP リクエストを Apache HTTP Server に送ること でシステムリソースが大量に使用され、結果としてサービス不能状態に陥る可 能性があります。 Range header DoS vulnerability
セキュアなソフトウエア開発を支援する資料 | JPCERT コーディネーションセンター
「Java セキュアコーディング 並行処理編」 「Java セキュアコーディング 並行処理編」（原著 CERT/CC「Java Concurrency Guidelines」）は、カーネギーメロン大学ソフトウエア工学研究所の CERTプログラムと Oracle の共同作業の成果である「CERT Oracle Secure Coding Standard for Java」の中から、次のカテゴリに含まれる並行処理プログラミングに関連したガイドラインをまとめた資料です。 可視性とアトミック性(VNA) ロック(LCK) スレッドAPI(THI) スレッドプール(TPS) スレッドの安全性に関する雑則(TSM) セキュアな Java マルチスレッドプログラミングに取り組む際の手引きとしてご活用ください。 本資料に記述されたガイドラインを含む「CERT Oracle Secure Coding S
プレス発表 ソフトウェア製品における脆弱性の減少を目指す「脆弱性検出の普及活動」を開始：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、ソフトウェア製品における脆弱（ぜいじゃく）性の減少を目指す「脆弱性検出の普及活動」を、2011年8月から開始します。 近年ソフトウェア製品において開発者が認知していない脆弱性（未知の脆弱性）を悪用する攻撃や事件が後を絶ちません。これらの攻撃や事件では、世界中で広く使用されているソフトウェア製品だけでなく、主に日本国内のみで広く使用されているソフトウェア（*1）や、産業用制御システム（*2）なども標的とされています。 IPAとJPCERT/CC（*3）は2004年7月から、経済産業省の告示の下で「情報セキュリティ早期警戒パートナーシップ（*4）」を運営しており、ソフトウェア製品の脆弱性関連情報の受付と、製品開発者に対するその修正の依頼を実施しています。このパートナーシップ運営開始から7年が経過した2011年6月末時点で、累計1,2
Androidの一部にSSL関連の重大な脆弱性が発覚、フィッシング詐欺に遭う危険
IPA（情報処理推進機構）のセキュリティセンターとJPCERT/CC（JPCERTコーディネーションセンター）は2011年7月29日、Android OSの一部にSSL（Secure Sockets Layer）証明書の表示に関する危険度が高い脆弱性が見つかったことを公表した。SSL証明書は、Webアクセス時に接続先サーバーの身元（正規のドメイン名であるかどうかなど）を確かめるために使う情報である。 対象となるのは、Android OSの2.2より前のバージョン（全端末が関係するかどうかは現時点では定かではない）。該当するAndroid端末のWebブラウザーで「外部サイトのコンテンツを読み込むタイプのWebサイト」にアクセスし、身元を確認するためにSSL証明書を表示させると、本来の接続先Webサイト（ドメイン名）に対する証明書ではなく、外部サイトの証明書を表示してしまう。脆弱性を発見し、I
「予防接種」で攻撃メールを見破る「眼力」を、ラック － ＠IT
2011/06/30 「標的型メールを見破るには、メールを処理する人の『眼力』が必要だ」――ラック サイバーリスク総合研究所 開発センター CBCプロジェクト担当部長の川崎基夫氏は、6月14日に発表した新サービス「ITセキュリティ予防接種」の目的について、このように語った。 ITセキュリティ予防接種とは、標的型メール攻撃に対する防災訓練のようなサービスだ。2回にわたって擬似的な攻撃メールを社内に配信し、その脅威を身をもって体験することにより、標的型メール攻撃に対する「免疫」を付けることを狙っている。料金は、100名までの場合は100万円、500名までで250万円だ。 同サービスでは、顧客に合わせてカスタマイズした文面、添付ファイルの偽装メールを内部に配信し、開封率を調査する。そして訓練の種明かしを行った後、数カ月の間を置いて2回目の偽装メール攻撃を実施する。もちろん「だまし討ち」にならない
情報セキュリティ早期警戒パートナーシップガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
IPAおよびJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）は、「情報システム等の脆弱性情報の取扱いに関する研究会」（座長：土居 範久、慶応義塾大学名誉教授）での検討結果を踏まえ、情報セキュリティ早期警戒パートナーシップガイドライン(*1)（以降「ガイドライン」）を改訂し、2019年版をIPAおよびJPCERT/CCのウェブサイトで公開しました。 「情報セキュリティ早期警戒パートナーシップガイドライン」の2019年版を公開 「情報セキュリティ早期警戒パートナーシップ」は、ソフトウェア製品及びウェブアプリケーションに関する脆弱性関連情報の円滑な流通、および対策の普及を図るため、公的ルールに基づく官民の連携体制として整備されました。2004年7月8日の運用開始から2019年3月末までに脆弱性関連情報の届出は14,212件に達しました。 この度、IPAおよびJPCERT/
JPCERT コーディネーションセンター ライブラリ - 電子メールソフトのセキュリティ設定について
はじめに インターネットが一般に普及した現在、電子メールはインターネット利用者の大半が使うコミュニケーションツールとなりました。 それに伴い迷惑メールが増加し、更にウイルスを配布するような攻撃にもしばしば利用されるようになってきました。 加えて近年では、今までの迷惑メールのような無差別な配布ではなく、特定少数を標的とした標的型メール攻撃と呼ばれる攻撃も散見されるようになってきています。 標的型メール攻撃において攻撃者は、企業情報、個人の Web ページや ブログ、メーリングリスト等から特定の個人情報等を入手し、知り得 た情報をもとに標的とされた特定の組織向けにメール文面などをカスタマイズし、その会社の幹部社員などからの社内文書や、組織が関連している分野の資料を装ったメールを作成します。 攻撃者は、標的となったユーザがつい開いてしまうような電子メールを送付することによって、ユーザにメールに添
JPCERT Coordination Centerソースコード解析ツールを活用した CERT セキュアコーディングルールの有効性評価報告書
こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。 ※本フォームにいただいたコメントへの返信はできません。 返信をご希望の方は「お問合せ」 をご利用ください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[PDF] 今から始めるHTML5セキュリティ
第2回マルウェア解析勉強会 #malwat
http://atnd.org/events/19904
JPCERT コーディネーションセンター ISDAS(インターネット定点観測システム)
https://www.jpcert.or.jp/at/2011/at110015.txt