「セキュリティ担当者のための脆弱性対応ガイド」などを公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、自組織に必要な脆弱性対策を推進するための「セキュリティ担当者のための脆弱性対応ガイド」や報告書など、「情報システム等の脆弱性情報の取扱いに関する研究会」の成果をとりまとめ、2011年2月28日から、IPAのウェブサイトで公開しました。 IPAでは、昨年5月から開催してきた「情報システム等の脆弱性情報の取扱いに関する研究会」（座長：土居 範久 中央大学教授）の成果である「セキュリティ担当者のための脆弱性対応ガイド」や「組込みソフトウェアを用いた機器におけるセキュリティ（改訂版）」、および研究会の2010年度報告書を公開しました。 ■「セキュリティ担当者のための脆弱性対応ガイド」 これまでIPAでは、ウェブサイト運営者やウェブサイト構築事業者向けに脆弱性対応ガイド (*1)を公開してきましたが、企業等の組織におけるセキュリティ担当者
レガシーな証明書署名の脆弱性を修正したOpenSSH 5.8/5.8p1リリース | OSDN Magazine
フリーのSSHサーバー/クライアント実装「OpenSSH」の開発者は2月3日、最新版「OpenSSH 5.8」およびその移植（portable）版である「OpenSSH 5.8p1」を公開した。1月24日に5.7/5.7p1を公開以来のリリースとなり、セキュリティ修正が加わった。 OpenSSHはSSHプロトコル1.3/1.5/2.0を完全に実装したなオープンソースツールで、scp、sftpクライアントとサーバーのサポートも含む。1月後半に公開されたバージョン5.7/5.7p1では、RFC5656規定の楕円曲線暗号モードを鍵交換(ECDH)とホスト/ユーザー鍵(ECDSA)に実装するなどの新機能が加わっている。 それから約10日で公開されたバージョン5.8/5.8p1はセキュリティアップデートとなる。最大の特徴は、バージョン5.6/5.6p1で導入されたCA鍵を使ったレガシーな証明書の署名
Google's Vulnerability Reward Program - ma<s>atokinugawa's blog
Googleは2010年11月からGoogleのウェブアプリケーションのセキュリティ脆弱性を報告した人に報酬を支払う制度をスタートしました。僕も早速いくつか報告し、以前TwitterでGoogleから$7337頂いたよとつぶやきましたが、あれから新たに$6337の入金があり、今のところこの制度で$13174($1337 × 2 + $1000 × 2 + $500 × 17)を頂いています！ありがとう！ 追記 7337+6337=13674なので入金があったのは$13674($1337 × 2 + $1000 × 2 + $500 × 18)でした。合計を間違えてました。足し算難しい！＞＜+$500！ 修正されたものは情報を公開してもいいとのことなので、報告した中から多少変わったタイプの脆弱性を3つ紹介しようと思います。 <script>タグのsrcを細工することによるXSS こんなページ
高木浩光＠自宅の日記 - かんたんログイン方式で漏洩事故が発生
■ かんたんログイン方式で漏洩事故が発生 ガラケーからiPhoneに乗り換えた人々が「ガラケーサイトが見れない!!」とご不満らしいという話は、聞いたことがあったし、そういう方々向けに「ガラケーサイトを閲覧できる」と謳うスマホ用の専用ソフトが提供されたというのも、どこかで見た記憶があった。 そんな10月9日の夜遅く、ある方から、「iPhone用のSBrowserというアプリで、クロネコヤマトのサイトを使ったら、知らない人の個人情報が出てきてびっくりした。どうしたらいいか」という相談が舞い込んできた。 早速、iTunes Appストアで「SBrowser」の商品説明ページを見に行ったところ、数々の雑言レビューが付いており（図1）、この種のアプリの需要とユーザ層が見えた。
Chorizo-Scanner.com – Chorizo! New edition
How to compare loans? In case you need extra money in the form of a quick loan, clearly you should find the best offer available. Why? The answer is obvious: it’s all about money! However, when it comes to comparing different offers, it turns out that it’s not that simple. For example, various quick loans may differ not only in terms of interests and payback time, but also several other factors an
The Metasploit Project by H.D. Moore
The world’s most used penetration testing framework Knowledge is power, especially when it’s shared. A collaboration between the open source community and Rapid7, Metasploit helps security teams do more than just verify vulnerabilities, manage security assessments, and improve security awareness; it empowers and arms defenders to always stay one step (or two) ahead of the game.
Webアプリのセキュリティ自動検査ツールの弱点 - ikepyonのお気楽な日々〜技術ネタ風味〜
http://脆弱性診断.jp/specifications/index.html 発注側のセキュリティ要件書。 ざっとみたけど、まあよくまとまっていると思う。でも、要件だしたら必ずチェック方法を考えないとなぁと思うんですが･･･ あと、コレを見てどれくらいの人が理解して使うことができるか？ではないかなぁ？ やっぱり、各機能ごとにこういうことを考えてね見たいなテンプレートのほうがいい気がするなぁ。 例えば、ログイン機能はパスワード8文字以上にするとか、検索機能では「'」を含む文字列を正しく検索できるとか、決済機能では意図しない決済が行えないようにとか････ こういうパターンを幾つか作っておいて、それを選択するような感じのほうがいいのではないか？と思ってしまう。 とまぁ、要件に対するチェック方法として、自動検査ツールを使うと言うのは一つの解だと思う。しかし、現状の検査ツール（商用、フリー問
世間の認識と脅威レベルのギャップ――XSSは本当に危ないか？
皆さんこんにちは、川口です。コラムの第6回「IPSは“魔法の箱”か」でまっちゃ１３９で講演をしたお話を書きましたが、今度は関東でやっている「まっちゃ４４５」にお招きいただき、お話ししてきました。 まっちゃ４４５は募集開始から定員が埋まるまでがとても速く、今まで参加したことがなかったのですが、今回は運良く（？）講師側ということでキャンセル待ちにならずに参加することができました。ロックオンの福田さんがオープンソースのECサイト構築システム「EC-CUBE」に脆弱（ぜいじゃく）性が発見された際のインシデントハンドリングのお話をされていました。EC-CUBEにSQLインジェクションとクロスサイトスクリプティング（以下、XSS）が発見されたあとの対応のお話です。JSOCで日々インシデントにかかわっているいる自分としてはとても興味深い内容でした。 日本のエンジニアのセキュリティ意識は過剰？ 今回のよう
第1回 UTF-7によるクロスサイトスクリプティング攻撃［前編］ | gihyo.jp
みなさん、はじめまして。はせがわようすけと申します。 最近、文字コードと関連したセキュリティの話題を目にすることが増えてきました。文字コードを利用した攻撃は技術的に未開拓ということもあり、参考となる情報がなかなか見当たりません。この連載では、文字コードを利用した攻撃やそれに対する対策について正しい知識を解説していきます。 文字コードとセキュリティが関連するもっとも大きな点は、やはり文字列の比較でしょう。「危険な文字列の検出」「安全な文字列であることの確認」といった文字列の比較は、セキュリティを考えるうえで避けて通れない処理だと思います。 文字列の比較においては、単純にバイト列を比較するだけでは不十分で、文字列がメモリ上でどのようなバイト列として格納されているのか（このルールを符号化方式あるいは文字エンコーディングと言います）に注意しなければならないこともあるでしょう。攻撃者は巧みに文字
2008-11-02
ちょっと作成したWebアプリケーションに脆弱性があるかをきちんとチェックしないといけない羽目になったので調べてみた． 出来ればフリーで，無ければ有償でもいいので．いや，やっぱりフリーで．．． 調べて実際にインストールや使ってみた順に載せてみます． Nessus http://www.nessus.org/nessus/ フリーでは一番使いやすいサーバ脆弱性診断ツールかな．有名だし． でもサーバの脆弱性診断という位置づけが強い MultiInjector released - automatic parallel website Injector / Defacer http://chaptersinwebsecurity.blogspot.com/2008/10/multiinjector-released-automatic.html Pythonの2.4以上で動作 Windowsでも使
Wikto: Web Server Assessment Tool
Have you registered? Register (free,instant) for full access click here If you find Wikto usefull you might also want to look at our other projects - CrowBar and BiDiBLAH What's new in Version 2.0.2924-24997 ? 0. Fixed bug when starting SPUD via Wizard or Wikto interface. Download Wikto v2.0.2924-24997 (installer)| registration required What's new in Version 2.0.2924-23531 ? 0. Fixed bug
OWASP Foundation, the Open Source Foundation for Application Security | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept Who is the OWASP® Foundation? The Open Worldwide Application Security Project® (OWASP) is a nonprofit foundation that works to improve the security of software. Through community-led open-source software projects, hundreds of local chapters worldwide, tens of thousands of members, a
TLS 1.3 and the Future of Cryptographic Protocols
✕ Synopsys Enters into Definitive Agreement for Sale of Application Security (Software Integrity Group) Learn More The All-in-One Application Security Platform Optimized for DevSecOps Whether testing one application or thousands, automate any scan, any time, anywhere, all at once Explore the Polaris platform 2024 Open Source Security and Risk Analysis Report Explore insights into the current state
2005-11-02
みんな，snortのインストール方法はどうやっているのかなぁ。おいらは野コンパイルしてるけど，Debianだと，apt-getでMySQLとかSnortとかACIDとかも入りそうだなぁ。試してないけど。 できる限り楽をするには，どういう方法があるかなぁ。。。 あと，Oinkmasterを入れたほうが良いのか？BASEも入れなきゃなぁ・・・ w3mが入ってなかったので， # apt-get install w3m でインストール終了。めちゃ便利だな。やっぱ，ぜーんぶDebianにしちゃおうかなぁ。CentOSのYumはどうなんだろう？ いろいろと使ってみるかなぁ。 どこから接続してもnmapとpingとtracerouteがぶっ放せる端末があるってすばらしい。 あとは。。。nessusも入れとこうかな。あ、nessusもルール登録にsubscribeが必要なんだっけ？なんか面倒くさくなったな
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://365yen.jp/tech/2011/02/42271/
JVNTA11-039A: Microsoft 製品における複数の脆弱性に対するアップデート
skipfish web application security scanner
HugeDomains.com
Nessus Vulnerability Scanner: Network Security Solution
Perlを使って脆弱性を検証する
