組織におけるセキュリティポリシーの策定やシステム化方針の検討、及び製品・システムの運用業務を担当する運用者が参照すべきコンテンツの一覧です。 【基準・ガイド】 【レポート】 【ツール】
組織におけるセキュリティポリシーの策定やシステム化方針の検討、及び製品・システムの運用業務を担当する運用者が参照すべきコンテンツの一覧です。 【基準・ガイド】 【レポート】 【ツール】
Published: 2024-06-28 Last Updated: 2024-06-28 09:48:07 UTC by Jan Kopriva (Version: 1) We last discussed SSLv2 support on internet-exposed web servers about a year ago, when we discovered that there were still about 450 thousand web servers that supported this protocol left on the internet[1]. We also found that a significant portion of these servers was located in Kazakhstan, Tunisia and in the
PHPからのメール送信に使われている、「世界一人気の高いコード」に重大な脆弱性が見つかった。「パッチを適用しないまま放置すれば悪用される」と専門家は警告している。 PHPからのメール送信に広く使われているライブラリの「PHPMailer」に重大な脆弱性が報告され、修正のためのパッチが12月24日付で公開された。悪用されれば任意のコードを実行される恐れも指摘され、米セキュリティ機関のSANS Internet Storm Centerは直ちにパッチを適用するよう呼び掛けている。 脆弱性を発見したセキュリティ研究者ダビド・ゴルンスキ氏によると、PHPMailerは「PHPからメールを送信するための世界一人気の高いコード」で、WordPressやDrupalなど多数のオープンソースプロジェクトに使われている。
今年のトップニュースはマイナンバーの紐付けに相次ぐトラブルで、政府が総点検本部を組織して取り組むことになったが、単に人的ミスとは片付けられない問題をはらんでいる。第4位のAIのセキュリティリスクや第10位のパスキーの採用など、新たな切り口のニュースも出てきてはいるが、全体としては相変わらずのニュースで既視感が強いのは、際立つような重大事件等がなかった証であろう。プラス思考で考えれば、これは日本のサイバーセキュリティへの取り組みはそこそこうまくいっている証左とみることもできる。サイバー空間が社会に浸透して一体化してきた結果、それなりに事件事故は起こるものの、安定してきていることを示していると安心してもいいのかもしれない。 しかし、本当だろうかと疑いの目を向けてみると、今年のニュースには、「だんご三兄弟」とも揶揄されそうな事件・事故が並んでいる。これらのニュースの背後を深掘りしてみると、サイバ
パロアルトネットワークスは12月20日、経営層を対象としたセキュリティ指南書『マネジメントのためのサイバーセキュリティ』を無償で提供開始した。同書は、米Palo Alto Networksとニューヨーク証券取引所の共著『Navigating the Digital Age:the definitive cybersecurity guide for directors and officers』一部抜粋に、官民10名の社外有識者が加筆したもの。 具体的には、「サイバーセキュリティの現状」「企業経営とサイバーセキュリティ」「ベストプラクティス設計」「インシデントレスポンス」「サイバーリスクマネジメントにおける投資判断」「サイバーリスクと従業員教育」「サイバーセキュリティと法的側面」「重要インフラとサイバーセキュリティ」というテーマの下、解説が行われている。 同社の副会長を務める齋藤ウィリアム
Danger Close: Fancy Bear Tracking of Ukrainian Field Artillery Units Update – As of March 2017, the estimated losses of D-30 howitzer platform have been amended. According to an update provided by the International Institute for Strategic Studies (IISS) Research Associate for Defence and Military Analysis, Henry Boyd, their current assessment is as follows: “excluding the Naval Infantry battalion
米国では、先日の大統領選挙に関して、ロシアがヒラリー・クリントン候補のメールをハッキングした疑いがあるというニュースが流れ、物議をかもしているようだ。 韓国でもハッキング事件は後を絶たない。つい最近も、北朝鮮によるものとみられる国防ネットワークのハッキングが発生した。芸能人のSNSのパスワードを盗んで勝手に書き込みをした事件や、民間企業が学校の入札システムをハッキングして最安値を調べていた事件もあった。 中でも深刻なのは、国防関連のハッキングである。韓国国防部(部は日本の省に当たる)は2016年12月中旬、8月に国防ネットワークへの不正侵入があり韓国軍の情報が盗まれた事実と、それが北朝鮮によるものと推定していることを公表した。どのような情報が盗み取られたかは、明確に公表しなかった。
座談会参加者(各50音順) 生き字引チーム 有貝 : 現在JSOCのマネジメントだが、入社以来診断サービスに配属され、事業拡大に取り組んだ 秋山 : 現在副本部長としてセキュリティ全サービスの管理を行っているが、セキュリティ事業の立ち上げメンバー 川崎 : 現在コンサルタントを行っており、標的型攻撃メール訓練「ITセキュリティ予防接種」の立案から事業化を進めた 白井 : 現在コンサルタントを行っており、診断、サイバー救急といったセキュリティ事業を立ち上げたメンバー 西村 : 現在コンサルタントを行っており、セキュリティ診断の技術を支えてきたエンジニア 柳澤 : 現在コンサルタントを行っており、セキュアコーディングなどのアプリケーション開発の支援を提供したメンバー 現役チーム 川島 : 標的型攻撃メール訓練「ITセキュリティ予防接種」のチームリーダー 熊谷 : Webアプリケーション診断のチ
malaさんも2年程前に書かれているのですが、未だに国内のCSRF対策の解説で「セッションIDをCSRFトークンとして使う」というアイデアが披露されていて辟易します。 喩え話は好きでないですが、「複数のサイトで同じパスワードを使っていたら一箇所から漏洩し、パスワードリスト攻撃を受けた」というのを彷彿します。セッションIDとCSRFトークンは単純に別の値にした方がいいです。 さてこのエントリの本題はここからで、CSRFトークンよりもむしろセッションIDの方です。最近は443番ポートへクロスサイトでリクエストを大量に送らせてそれをキャプチャし、すべてのリクエストに共通して含まれてくるCookie中のセッションIDを解読するBEAST/CRIME系の攻撃が知られるようになりました。 これらは基本的にはTLS/SSLの問題でありそれぞれ個別に対策が存在しているものの、基本的には「セッションIDがず
PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する
日米英の大学有志が連帯し、世界のサイバー空間の安全に貢献する――。慶応義塾大学三田キャンパスで2016年11月1日に開催された、サイバー脅威インテリジェンスに関する国際会議「Borderless Cyber Asia 2016」では、こうした大学連携のサイバー情報共有の枠組みが発足した。 発表されたのは、日米英の13大学の有志から成る国際連携組織「International Cyber Security Center of Excellence(INCS-CoE)」だ。設立目的は、世界のサイバーセキュリティに携わる人材が膝詰めで問題を議論し、協業しながらサイバー脅威を解決できる「場」を提供していくこと。さらに、各大学とのサイバーセキュリティに関する情報共有と共同研究などを通じ、セキュリティ脅威に対応していくとした。 慶応大の呼びかけで日米英のリーダー校が連携 INCS-CoEは慶応義塾大学
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く