EC2への接続（Session Manager/EC2 Instance Connect Endpoint）をSCPでIP制限してみた | DevelopersIO
6社14種のWAFルールをサブスクリプション利用可、進化拡大する AWS のセキュリティがもたらす影響は | ScanNetSecurity
6月1日、AWS Summit Tokyo 2018 において、アマゾン General Manager、AWS Perimeter Protection の Andrew Thomas 氏が、AWS で利用できるセキュリティ機能に関する講演を行った。 紹介されたサービスは「AWS Shield Advanced」「AWS WAF」「AWS Firewall Manager」の 3 つ。2017 年秋以降、順次リリースされた AWS の VPC や S3 を保護するセキュリティサービスだ。講演自体は、これらの機能、とくに有料オプション機能によって、いかに AWS を守ることができるのかを紹介するものだった。 クラウドベンダーの雄であるアマゾンが提供するセキュリティサービスは、既存の SIer やセキュリティベンダーにとっても無関係ではない。講演概要と、市場に与える影響について考えてみたい。
How To Audit Docker Host Security with Docker Bench for Security on Ubuntu 16.04 | DigitalOcean
Introduction Using Docker to containerize your applications and services can give you some security benefits out of the box, but a default Docker installation still has room for some security-related configuration improvements. The Center for Internet Security, a non-profit whose mission is to promote internet security best-practices, created a step-by-step checklist for securing Docker. Subsequen
CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog
2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx
Free Open Source Password Manager | bitwarden
This page is displayed in , but your browser is set to . Would you like to switch to the version?
SELinuxで今どきのログ収集サーバーを守る
前回、SELinuxのアクセス拒否が原因で起きる問題を、いくつかの事例を見ながら確認しました。今回はさらに進んで、SELinuxの機能により、新たにアプリケーションに特定のドメインを作成して制御する方法を紹介します。 SELinuxで新たにドメインを作成するにはいろいろな方法がありますが、一番簡単なのは「selinux-devel」のパッケージをインストールすることです。 ただし、このパッケージはDevパッケージで開発環境を提供するため、ポリシーの開発は開発用サーバーで行い、本番環境には出来上がったポリシーのみをコピーする方が安全に本番環境を運用できます。 以下、実例を使ってドメインの作成方法を見ていきましょう。 logstashのテスト環境を作る logの集中化と安全な保存は、運用管理の中でも（特に金融系など、官庁による査察などが入る場合には）重要なタスクになります。その中でも、logを
No! Don’t turn off SELinux! – Blog.CentOS.org
One of the daily activities of the CentOS Community Lead is searching the Internet looking for new and interesting content about CentOS that we can share on the @CentOSProject Twitter account, or Facebook, Google +, or Reddit. There's quite a bit of content out there, too, since CentOS is very popular. Unfortunately, some of the content gets unshared, based on one simple text search: "SELinux AND
SELinux と Docker と OpenShift v3 - Qiita
Dockerは、SELinuxのタイプにsvirt_lxc_net_tラベルを設定し、コンテナ内のプロセスからホスト上のリソース間のアクセス制御を強固なものにしています。 また、KVM仮想マシンプロセスのsvirtの仕組みと同じく、コンテナ間の同一タイプ(svirt_lxc_net_t)を持つプロセスに対しては、MCS(Multi-Category Security)のカテゴリラベルによりアクセスの制限をしています。 今回のエントリーでは、SELinuxによるDockerリソースのアクセス制御と、内部でDockerを利用するOpenShift v3が、そのSELinuxをどう取り扱ってるのかを見ていきます。 MEMO: Fedora 22上の Docker1.8.2とRHEL7上のDocker1.7.1で確認しています。
コンテナーセキュリティーガイド Red Hat Enterprise Linux Atomic Host 7 | Red Hat Customer Portal
Skip to main content
理解してるつもりの SSL/TLS でも、もっと理解したら面白かった話 · けんごのお屋敷
apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH
Chrome ExtensionのLive HTTP Headersの調査(CoolBar.Pro導入 Extensionが何を行うかの調査)
a.md Chrome ExtensionのLive HTTP Headersを調査した。Firefox用のものではない。Firefox用のものではない。 https://chrome.google.com/webstore/detail/live-http-headers/iaiioopjkcekapmldfgbebdclcnpgnlo 11/7追記 類似 or 同様の方法で難読化scriptを埋め込んでいる拡張機能が大量にあったため、Googleに報告済み。 https://twitter.com/bulkneets/status/795260268221636608 English version: https://translate.google.com/translate?sl=ja&tl=en&js=y&prev=_t&hl=ja&ie=UTF-8&u=https%3A%2F%
自社のセキュリティ状況を振り返る「8つのチェック項目」
マイクロソフトが、クラウド利用を踏まえた自社のセキュリティ状況を把握し、対策するヒントになる「セキュリティチェックリスト」を公開。「これらを継続的なプロセスとして実施すべき」だという。 米マイクロソフトは2016年8月15日（米国時間）、企業がクラウド利用におけるセキュリティ状況を自己評価するための「セキュリティチェックリスト」を公開した。 同社は「クラウドコンピューティングやIoT（Internet of Things）がグローバル経済の変革を続ける中、企業はクラウドセキュリティ対策を“継続的なプロセスとして実施”しなければならない」と提言。そのためには、クラウドコンピューティングおよびIoTシステムにおける主要なリスクを正しく把握するとともに、自社のクラウド利用におけるセキュリティ状況を定期的にレビューし、その結果に基づいてセキュリティ対策を調整していく必要があると述べている。ここでは
セキュリティ監査状況を採点〜CISベンチマークを読んでみた(Amazon Linux編) | DevelopersIO
西澤です。先日、CIS(Center for Internet Security) Benchmarkを読んでみたところ、とても勉強になったので、セキュリティに対する知見を深める為、少し古いものなのですが、Amazon Linux版もしっかり読んでみることにしました。 CISベンチマークの説明等、前回の記事はこちら あなたのAWSセキュリティ監査状況を採点〜CISベンチマークを読んでみた ｜ Developers.IO Amazon Linux版CISベンチマーク Amazon Linuxの最新版は、先日リリースされたAmazon Linux AMI 2016.03ですが、CISベンチマークの対応は2015.03までのようです。少々古いバージョンにはなりますが、必ず参考になる点があるはずです。 Level1、Scoredを優先に読み進めて行くところは先日の記事と同様です。それでは、早速詳し
OpenSSL Security Advisory [3rd May 2016]
OpenSSL openssl at openssl.org Tue May 3 14:04:55 UTC 2016 Previous message: [openssl-announce] OpenSSL version 1.0.2h published Messages sorted by: [ date ] [ thread ] [ subject ] [ author ] -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 OpenSSL Security Advisory [3rd May 2016] ======================================== Memory corruption in the ASN.1 encoder (CVE-2016-2108) =========================
NTPに複数の脆弱性、更新版で修正
インターネット接続機器の時刻合わせに使われるNTPに複数の脆弱性が見つかり、修正のための更新版が公開された。サービス妨害などの攻撃に利用される恐れがあるとして、米セキュリティ機関などはできるだけ早くパッチを適用するよう呼び掛けている。 NTPのセキュリティ情報によると、4月26日に公開された「NTP-4.2.8p7」では11件の脆弱性に対処したほか、16件の不具合が修正された。 米セキュリティ機関CERT/CCによれば、これらの脆弱性を悪用された場合、認証を受けないリモートの攻撃者にパケットを偽装され、サービス妨害（DoS）攻撃を仕掛けられたり認証をかわされたり、設定を変更されたりする恐れがある。 危険度は共通脆弱性評価システム（CVSS）のベーススコアで6.8（最大値は10.0）。NTPチームでは「中」または「低」と評価している。 関連記事 （更新）Apache Strutsに危険度「高
HackerOne | Global leader in offensive security | Security for AI | Crowdsourced Security
Pentest as a Service Programmatic, On-demand Pentests
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
オンラインビデオ会議サービス「Zoom」に致命的な脆弱性／最大深刻度は「Critical」、最新版への更新を
国家サイバー統括室
Using Volumes with Docker can Cause Problems with SELinux
Practical SELinux and Containers