AWS再入門2018 セキュリティチェック編 | DevelopersIO
こんにちは。池田です。本州からは梅の便りが届いていますが、札幌はまだまだ雪景色です。 最近になり周囲で「今度はEchoの招待が届いた！」とか「2回目のEcho Dotの招待が届いた！」とか「2台目ゲット！」とか聞こえてきました。我が家にEcho Plusを迎え入れる日はいつになるのでしょうか。 早くスマート家電を声で制御する生活を体験したくてワクワクしています。 はじめに 今年に入ってからAWS再入門シリーズと題して勉強を進めているのですが「たまにはAWSホワイトペーパーを読んでみよう」と思い立ちいくつか読んでいた中でAWS_Security_Checklistという資料を見つけました。 内容は非常に簡潔ですが、各項目はそれぞれ関連するAWSドキュメントへのリンクが設けられていました。 そこで今回は資料からの各リンク先ドキュメントを基に筆者が整理したチェックポイントなどを「AWS再入門20
アドテクスタジオのAWSにおけるセキュリティグループ整理術とScout2 | AI tech studio
こんにちは。アドテクスタジオでセキュリティエンジニアをしている岡崎です。 前回は、「AWS Management ConsoleへのSSO」について、紹介させていただきました。 今回は、「アドテクスタジオのAWSにおけるセキュリティグループの整理の仕方」と「Scout2を使った可視化」をしてみたことについて、紹介させていただきます。 今まで、ネットワークのセキュリティ設定「ファイアウォール」などはネットワークエンジニアが行っていました。しかし、AWSなどのパブリッククラウドを利用し始めてからは開発エンジニアがファイアウォール（AWSのセキュリティグループ）設定をする機会が増えており、今までファイアウォールの設定を経験をしていない開発エンジニアとっては設定に困ると思います。 そんな中、見様見真似でセキュリティグループの設定をすると、、、あとあと、 「あれ、これはなんの設定？」 「このソースI
DZone
CONTACT US 600 Park Offices Drive Suite 150 Research Triangle Park, NC 27709 support@dzone.com +1 (919) 678-0300
API-Security-Checklist/README-jp.md at master · shieldfy/API-Security-Checklist · GitHub
English | 繁中版 | 簡中版 | Português (Brasil) | Français | 한국어 | Nederlands | Indonesia | ไทย | Русский | Українська | Español | Italiano | Deutsch | Türkçe | Tiếng Việt | Монгол | हिंदी | العربية | Polski | Македонски | ລາວ API Security Checklist これはAPIの設計, テスト, リリース時における、重要なセキュリティ対策チェックリストです。 認証(Authentication) Basic認証を使用してはならない。標準的な認証を使う。(例 JWT, OAuth) 認証, トークン生成, パスワードの保管において車輪の再発明をしてはならない。 最大ログイン試
Lynis - Security auditing and hardening tool for Linux/Unix
Our website is currently getting an overhaul. Something not working correctly? Let us know! Lynis, an introductionAuditing, system hardening, compliance testingLynis is a battle-tested security tool for systems running Linux, macOS, or Unix-based operating system. It performs an extensive health scan of your systems to support system hardening and compliance testing. The project is open source so
AWS セキュリティグループのオレオレ設定ポリシー - Qiita
セキュリティグループは、1 つ以上のインスタンスのトラフィックを制御する仮想ファイアウォールとして機能します。インスタンスを起動するときに、1 つ以上のセキュリティグループとインスタンスを関連付けます。各セキュリティグループに対してルールを追加し、関連付けられたインスタンスに対するトラフィックを許可します。セキュリティグループルールはいつでも変更できます。新しいルールは、セキュリティグループに関連付けられているインスタンスすべてに自動的に適用されます。インスタンスに到達できるトラフィックを許可するかどうかの判断では、インスタンスに関連付けられているすべてのセキュリティグループのすべてのルールが評価されます。 by AWS 要するにファイアウォール。 あるある事例 同じ様なポリシーが乱立 AWS担当者が一人の場合にはあまり起こらないが、複数人で設定を行うと同じ様な設定が複数個作られる。特にた
AWS EC2のセキュリティグループ同士の依存関係を確認する - Qiita
セキュリティグループのうち、「使っていないセキュリティグループはどれか」を発見するためのツールを作ったので公開してみました。 sg-dependency-viewerなる名前をつけてみたけれども、要はIngressとEgressのIP制限もしくは、セキュリティグループを使った制限を簡単に表示させるもの。 意図しているSGはいいのだが、EMRやELBがつくったSGはわからなくなってしまうのでつくりました。 $ aws ec2 describe-security-groups |ruby sg-dv.rb -a とすると、sg-dv.rbは、 sg-59a6dbxx Tags: Descritption: Slave group for Elastic MapReduce IpPermissions: #3 IpPermissionsEgress: #0 [Group] referred by
AWSのELB(Elastic Load Balancing)は、セキュリティ的に問題ないのか | ozumaの日記 | スラド
AWS(Amazon Web Service)を個人的にボチボチいじっているのだけど、ELB(Elastic Load Balancing)が結構気持ち悪い。ので今日はその辺のお話。 ELBとはAWSが提供するロードバランサで、オートスケールと組み合わせることにより、トラヒック増大時にも自動的にスケールアップしてくれるというのが売りとなっている。内部的な話をすると、ひとつのELBにはひとつのFQDNが割り当てられ、スケールする際にはこのFQDNのIPアドレス(Aレコード)が変わるという若干トリッキーな動きをする。そのため、ユーザはIPアドレスではなく、常にFQDNでアクセスするようにしないといけない。（この他、配下のサーバのヘルスチェックもきめ細かくできるとか、Route 53の合わせ技が強力……とか色々あるけど本稿では関係ないので省略）。 さてここで問題は、スケールしてELBのIPアドレ
NTPDの脆弱性 CVE-2014-9295他の関連情報をまとめてみた。 - piyolog
2014年12月18日にNTP ProjectはNTPDに複数の脆弱性が確認され、その修正プログラムを公開したことを発表しました。ここでは任意のコードが実行可能とされるCVE-2014-9295を中心に関連情報についてまとめます。 注意喚起・脆弱性公開情報 2014年12月19日 US-CERT Vulnerability Note VU#852879 Network Time Protocol daemon (ntpd) contains multiple vulnerabilities ICS-CERT Advisory (ICSA-14-353-01) Network Time Protocol Vulnerabilities 2014年12月22日 JVNVU#96605606 Network Time Protocol daemon (ntpd) に複数の脆弱性 脆弱関連情報 C
Don't update NTP – stop using it - Hanno's blog
Update: This blogpost was written before NTS was available, and the information is outdated. If you are looking for a modern solution, I recommend using software and a time server with Network Time Security, as specified in RFC 8915. tl;dr Several severe vulnerabilities have been found in the time setting software NTP. The Network Time Protocol is not secure anyway due to the lack of a secure auth
POODLE攻撃の検知とJavaによる検証コード
はじめに SSLv3のパディングに注目した攻撃手法であるPOODLEは、以前こちらのブログのエントリで取り上げたことがあるBEASTとCRIMEに非常によく似た攻撃です。今回はこのPOODLEについて、一般的な視点とはやや異なる、筆者独自の意見を述べてみたいと思います。 必ずしもSSLv3を無効にする必要はない POODLEの対策として書かれている情報はそのほぼ全てが「SSLv3を無効にする」というものですが、個人的には技術的にもう少し踏み込んで考えてみても良いのではないかと感じます。私は以前のエントリで次のように指摘しています。 BEASTもCRIMEも、意図しないリクエストが飛ばされ、そこにCookieが自動的に含まれてしまう点を攻撃するという意味で、CSRF攻撃の一種だと言えるでしょう。BEASTが発表されたらBEAST対策（RC4にする/TLSをバージョンアップする）を行い、CRI
2014年10月のMySQLセキュリティアップデート - rch850 の上澄み
巷では Amazon RDS リブート祭りになってますが、その原因となった MySQL の脆弱性とは何なのか。 Oracle のアドバイザリから、攻撃時の認証が不要となっていた9つの脆弱性をピックアップ。 CVE Base Score 最悪の影響などの概要 CVE-2014-6491 7.5 MySQL Server での任意のコード実行を含んだ、MySQL Server の奪取 CVE-2014-6500 7.5 MySQL Server での任意のコード実行を含んだ、MySQL Server の奪取 CVE-2014-0224 6.8 攻撃は難しい。いくつかの MySQL Server での update, insert, delete の実行、MySQL Server がアクセスできるデータの一部のリードアクセス、MySQL Server の部分的な DOS CVE-2012-561
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - shieldfy/API-Security-Checklist: Checklist of the most important security countermeasures when designing, testing, and releasing your API
Modern Linux service isolation
Webシステム／Webアプリケーションセキュリティ要件書 2.0 - OWASP Japan セキュリティ要件定義書ワーキンググループ
FireHOL IP Lists | IP Blacklists | IP Reputation Feeds
【イニシャルB】無料のコンテンツフィルタとしての実力は？ Cisco傘下となった「OpenDNS」を試す 
ハードディスクの正しい消去(2015.7)
フリーでできるセキュリティ インフラ（Nessus）編
Blogger