1200億円の被害を出したサイバー犯罪、キッカケは"のぞき見"
カスペルスキーが調査したサイバー犯罪集団「Carbanak(カーバナック)」は、10億ドル(約1200億円)を銀行から盗みとったと推測されている。その手口は、システム管理者のデスクトップをビデオで記録・監視することだった。調査にあたったカスペルスキーのセキュリティリサーチャー、セルゲイ・ゴロバーノフ氏に話を聞いた。 100以上の金融機関から10億ドル窃取「Carbanak(カーバナック)」の謎 2013年から2年に渡り、サイバー犯罪集団「カーバナック(Carbanak)」は、世界100以上の銀行・電子決済システムなどの金融機関を攻撃した。被害額はなんと10億ドル(約1200億円)にも及ぶ。日本では被害がなかったために話題にならなかったが、銀行へのサイバー攻撃では史上最高だと見られている。 一連の攻撃グループをカスペルスキーでは「カーバナック(Carbanak)」と呼んでいる。カーバナックの
PowerPoint プレゼンテーション
欧州の動向-電子署名指令から eIDAS規則へ 2015/4/10 株式会社コスモス・コーポレイション ＩＴセキュリティ部 濱口 総志 Cosmos Corporation（複製厳禁） 2 自己紹介 株式会社コスモス・コーポレイション 製品安全／EMC／医療機器評価・認証 TUViT GmbHの日本代理店 ETSI認証／データセンタ監査／コモンクライテリア評価／調査 一般財団法人 日本情報経済社会推進協会 客員研究員 東京工科大学 手塚 悟 研究室 eIDAS規則と電子署名指令 eIDAS規則： Regulation (EU) No910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electron
本格化するMITB攻撃に備え、マイナンバーカードにトランザクション署名を
2013年以降、マルウェア感染による不正送金被害が国内でも増加している。警察庁のまとめによると、ウイルスに感染してIDやパスワードを盗み取られ、他人の口座などに不正送金される被害は、2013年は前年の約14倍に当たる1325件に上った。2014年に入ってもその傾向は変わらず、2月末の時点で500件、約6億円に上る被害が生じているという。 不正送金で、最近増えているとされるのが「Man-in-the-Browser」（MITB）と呼ばれる手法だ。被害者のPCに侵入したマルウェアが、オンラインバンキングなど特定のページにアクセスしたときにだけ動作してWebページの表示に改ざんを加え（＝Webインジェクション）、IDやパスワード情報を盗み取ったり、送金先口座を変更してしまったりする。 産業技術総合研究所が2014年3月13日に開催した「第2回 セキュアシステムシンポジウム」において、同研究所の高
HTTPS 化する Web をどう考えるか - Block Rockin’ Codes
Update 2015/5/8: 指摘頂いたタイポや誤訳などを更新しました。 2015/5/8: 構成を一部修正しました。 Intro 4/30 mozaiila のセキュリティブログに下記のようなエントリが投稿されました。 Deprecating Non-Secure HTTP | Mozilla Security Blog エントリはそこまで長くないので、ここに翻訳の全文を記載します。 そして、元エントリのライセンスである CC BY-SA 3.0 に則り、 本エントリも同じく CC BY-SA 3.0 とします。 Deprecating Non-Secure HTTP 原文: Deprecating Non-Secure HTTP 今日は、 non-secure な HTTP から、徐々に廃止していくという方針についてアナウンスします。 HTTPS が Web を前進させる手段である
NginxでHTTPS：ゼロから始めてSSLの評価をA+にするまで Part 2 – 設定、Ciphersuite、パフォーマンス | POSTD
NginxでHTTPS：ゼロから始めてSSLの評価をA+にするまで Part 2 – 設定、Ciphersuite、パフォーマンス 今日のインターネットの世界では、一般的な静的Webサイトも含め、 全てのWebサイト に、強固で安全なHTTPSのセットアップが必要となります。この記事は、Nginxセキュリティをどのようにセットアップするのかに関するシリーズのパート2です。 パート1 は、Webサーバに有効な署名証明書をセットアップする話で終了しました。しかしこれには、最適な設定とは言い難い、デフォルトのNginxの設定を使用していました。 この記事を読み終えれば、SSL Labsのレポートで、A+の評価を獲得できる安全なHTTPSの設定ができます。それだけでなく、追加でいくつかの微調整も行い、パフォーマンスそしてUXも向上させていきます。 ここに掲載した記述やコードの抜粋の他にも、すぐに使
セキュリティ | WebPay: 開発者向けクレジットカード決済サービス
WebPayの利用者が安心して決済機能を実装出来るようにセキュリティ向上へ取り組んでいます。 PCI DSSへの準拠 PCI DSSはAmerican Express、Discover、JCB、MasterCard、VISAというカードの5大国際ブランドが共同で設立した PCI SSC によって策定されている クレジットカード情報漏洩防止の国際セキュリティ標準です。 近年、クレジットカード情報を取り扱う事業者に対してPCI DSS準拠の義務化の流れが広がっており、 米国ではすでにいくつかの州で、 Webサービスやアプリケーションの運営者を含むすべてのクレジットカード情報を取り扱う組織 に対してPCI DSSへの準拠を義務づけ、違反者には刑事罰が科される状況となっています。 PCI DSSは、12の大きな要件と288の詳細な項目で規定されており、 準拠すべき項目数は、クレジットカード情報をど
Encryption and Key Management in AWS
Sensitive customer data needs to be protected throughout AWS. This session discusses the options available for encrypting data at rest in AWS. It focuses on several scenarios, including transparent AWS management of encryption keys on behalf of the customer to provide automated server-side encryption and customer key management using partner solutions or AWS CloudHSM. This session is helpful for a
Nasdaq’s Architecture using Amazon EMR and Amazon S3 for Ad Hoc Access to a Massive Data Set | Amazon Web Services
AWS Big Data Blog Nasdaq’s Architecture using Amazon EMR and Amazon S3 for Ad Hoc Access to a Massive Data Set This is a guest post by Nate Sammons, a Principal Architect for Nasdaq The Nasdaq group of companies operates financial exchanges around the world and processes large volumes of data every day. We run a wide variety of analytic and surveillance systems, all of which require access to esse
クラウドを支えるこれからの暗号技術 - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズ・ラボの光成です。 私は先月のDevelopers Summit 2015で、「クラウドを支えるこれからの暗号技術」という講演をいたしました。そのとき、近いうちに詳細なテキストを公開する予定と申し上げました。その準備ができましたので報告いたします。 講演と同じタイトル『クラウドを支えるこれからの暗号技術』のpdfはgithubから取得できます。 2015/6/21追記。このテキストが秀和システムから出版されました。 表題の講演は、主に2000年に入ってから登場した新しい暗号技術の紹介がメインです。そのときのプレゼン資料は3月の時点で4万5千ビューを超えていて、デブサミ資料の中でもかなり上位に入る閲覧数のようです。技術者の暗号に関する関心が高いことを伺わせます。 しかし一般向けの暗号のテキストは、公開鍵暗号の一つであるRSA暗号やElGamal暗号ぐらいしか詳しい原理が記されていな
DB暗号化と鍵管理の重要性
DB暗号化と鍵管理の重要性 日本セ フネ ト株式会社 エンタ プライズ事業部 シニアセキ リテ エンジニア Insert Your Name Insert Your Title Insert Date 日本セーフネット株式会社 エンタープライズ事業部 シニアセキュリティエンジニア DBSC DB暗号化WGリーダー 高岡 隆佳 se t ate 2 SafeNet会社概要 What We Do SafeNetは幅広いデータ保護ソリューションを提供しており、 お客様の価値ある情報を守り続けています お客様の価値ある情報を守り続けています。 Who We Are 世界中の信頼されているブランド企業の価値あるデータを 保護 そして我々もまた信頼されています。 保護、そして我々もまた信頼されています。 We protect the most money that i th ld $1 t illi
Secure AWS Users Meetup #1に行ってきた - まめ畑
AWS上でのセキュリティの現場の声が聞ける、Secure AWS Users Meetup #1に参加してきました。 http://connpass.com/event/11019/ セキュリティというところで、現場のシビアな実情が垣間見えて非常に参考になりました。セキュリティを日々どう守るかとかAWS上でどう安全な環境を作るかという視点は今後もっと大切になると感じました。 様々な要望やシステムを守るためにAWSにまだまだ足りない物事や、AWSの勉強会では普段聞けない話が続々とでてかなりハイレベルな勉強会でした！要望などは本当に伝えたいと思います！ キーワードは、認証情報の管理の仕方、しやすさだと感じました。運営の皆様、発表された皆様、ありがとうございました！ 次回もあるということで楽しみです！ メインセッション @kani_b (Cookpad): How to secure your
Luaが支えるCloudFlareのWebアプリファイアウォール - ワザノバ | wazanova
https://www.youtube.com/watch?v=nlt4XKhucS4 1 comment | 0 points | by WazanovaNews ■ comment by Jshiike | 約3時間前 CloudFlareのWAF (Web Application Firewall)は、HTTPリクエストをフィルタリングし、 SQLインジェクション コメントスパム XSS DDoSアタック WordPressなど特定のアプリを狙った攻撃 などの攻撃をネットワークのエッジで、つまりサーバに到達する前に守ってくれます。 適用するフィルタリングルールは、オープンソースのOWASPなどの共通ルール 5,682件 + CloudFlare内製のルール 102件 + 顧客企業がカスタムメイドしたルールの総計で、それが全てのリクエストに当てはめられます。その処理速度は平均1ms以
OSSEC ではじめるセキュリティログ監視 - クックパッド開発者ブログ
インフラストラクチャー部の星 (@kani_b) です。 Heartbleed, ShellShock, XSA-108 (a.k.a. EC2 インスタンス再起動祭), POODLE など、今年は話題となるような脆弱性が各地を襲う一年でした。 脆弱性への対応に加え、いわゆるセキュリティ対策に日頃頭を悩ませている方も多いのではないかと思います。 一言にセキュリティ対策と言っても、実際やるべきことは多岐にわたります。今回はそのうちの一つとして、OSSEC という IDS (侵入検知システム) を使ったセキュリティログ監視についてご紹介します。 OSSEC とは OSSEC は、いわゆるホスト型の IDS (HIDS) です。以下のような機能を持っています。 ログ解析、監視 ファイルの変更監視 rootkit の検知 それらをトリガにしたプログラムの自動実行 (Active Response)
実践 AWS Key Management Service - WebPay Engineering Blog
WebPayはサーバインフラの大部分でAWSを利用しており、クラウドサービスもAWSのものを好んで利用しています。 今回、新たにカード会員データを取り扱う部分を再構築するにあたり、AWS Key Management Serviceについてサーベイしました。 この記事ではその過程で得られた知見を、PCI DSSとの関係や実際のコードに触れながら紹介します。 カード決済に限らず、セキュリティが重要なシステムを構築しているエンジニアに是非読んで欲しい内容になっています。 AWS Key Management Serviceとカード会員データ AWS Key Management Service（以後KMS）は、端的にはデータの暗号化、復号化を実施するサービスです。 具体的な利用法や特徴については公式ドキュメント What is the AWS Key Management Service?に譲
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PKI Day 2015 サイバーセキュリティの要となるPKIを見直す
https://www.jnsa.org/seminar/pki-day/2015/data/0-1_tezuka_2.pdf
https://www.jnsa.org/seminar/pki-day/2015/data/0-1_tezuka_1.pdf
サイボウズのセキュリティその後―Cy-SIRT活動報告など
DeNAの組織内CSIRT、成功の秘訣は「ユーザー目線」と「古いルールの撤廃」―DeNA 茂岩祐樹氏
TechCrunch | Startup and Technology News
