こんにちは、id:takaram です。 ラクスでは全社で GitHub を利用しており、大半のプロジェクトが GitHub Actions を CI として利用しています。 GitHub Actions は、テストやデプロイまでを自動化する強力な仕組みである一方、正しく使わなければセキュリティホールとなる危険性もはらんでいます。 今回は、GitHub Actions のセキュリティについて紹介していきます。 GitHub Actions のセキュリティ ありがちな侵害のパターンと対策 1. サードパーティアクションの侵害 問題 対策 2. 過剰な権限設定 問題 対策 3. run 内での OS コマンドインジェクション 問題 脆弱な例 対策 4. curl | bash 型の危険なスクリプト実行 問題 対策 追加の対策 1. actionlint で構文・展開の安全性をチェック 導入例

仮想マシン（VM）はコンテナよりもセキュアなのだろうか？言うまでもなく答えはVMだと思うかもしれないが、IBM ResearchによるとコンテナはVMと同等に、さらにはVMよりもずっとセキュアになり得るのだという。 IBM Researchのディスティングイッシュト・エンジニアであり、Linuxカーネルの主要開発者であるJames Bottomley氏は以下のように記している。 セキュリティという観点で、コンテナとハイパーバイザのいずれが勝っているのかという現在の議論が抱える最大の問題の1つは、セキュリティの評価手段を誰も作り出していないため、議論が定性的な言葉（インターフェースの幅広さという点で、コンテナよりもハイパーバイザの方がセキュアに「感じられる」など）になるにもかかわらず、誰も定量的な比較を実際にしてこなかったというところにある。 こういったニーズを満足させるためにBottoml

あなたが「そんなこと、もう知ってるよ！」と思うようなセキュリティ知識を、まだ知らないかもしれない人たちに向けて何度でも伝える――これ、一見ムダに思えませんか？ でも、実はセキュリティ向上にとって非常に重要なポイントは「皆の“知らなかった！”をどれだけ減らせるか」だと、私は考えています。なぜなら、多くの被害者を出した情報漏えい事件の一部は、基本的なセキュリティ知識が“皆に”伝わってさえいれば、本来防げたはずのものだから。 今回、皆さんに紹介するのは、2018年7月に公開された「報告書」です。これは、産業技術総合研究所（産総研）が外部からの不正アクセスを“許してしまった”事件の被害状況と原因を整理した、大変有用な資料です。 （参考） 産総研に外部から不正アクセス、個人情報漏えいの恐れ（ITmedia NEWS） 産総研を襲ったのは「マルウェア」ではなかった 一体何が起こったのでしょうか？　簡単

まず、これらの攻撃に対抗するには「知ること」。今このコラムを読んだ皆さんは、もう引っ掛かることはないはずです。ぜひ、お気を付けください。 「スマホアプリ」が絡む攻撃であまり断言されないこと さて、ちょっとお話は変わりまして、シマンテックの記者説明会に参加したとき、スマホアプリにおける悲惨な現状について数字を用いて解説をしていただきました。 この調査結果では、マルウェアは1日あたり2万4000件もブロックされ、さらにマルウェアの99.9％はサードパーティーのアプリストアで発見されるとあります。公式のアプリストアでも、なりすましのアプリが大量に登録されては発見後にブロックされるといういたちごっこが繰り広げられています。スマホゲームのスキン（アバター）や追加キャラクターを無料で手に入れられるというアプリが実はマルウェアだった、というものもあるとのことでした。 さて、ここまでのお話で何か気が付いた

第1回「投機実行の隙を突くSpectre/Meltdownの仕組みを知る」はコチラ 根本対策への第1歩となるSafeSpec このような状況で、カリフォルニア大リバーサイド校のKhaled Khasawneh氏、Esmaeil Koruyeh氏、Chengyu Song氏、College of William and MaryのDmitry Evtyushkin氏、Binghamton大のDmitry Ponomarev氏、カリフォルニア大リバーサイド校のNael Abu-Ghazaleh教授が「SafeSpec」という論文を発表した。 SafeSpecは、Speculation(投機実行)を安全(Safe)に行えるメカニズムを意味している。投機実行は今日のプロセサの高性能化の基礎をなすもので、使わない訳にはいかない。このため、どうしたら投機実行を安全に行えるかを考えたのが、この論文である

Windows 10を搭載したパソコンがネットワーク上のNAS（ネットワーク接続ハードディスク）につながらなくなるというトラブルが相次いでいる。引き金となったのは、Windows 10に半年に一度のペースで提供される「Future Update」という定期アップデート。2017年9月から公開されているこのアップデートで、Windowsのファイル共有プロトコル「SMB（Server Message Block）」の初期バージョンv1が標準で無効になったことが原因だ。 一部のNASではSMBv1しか使えないのに、Windows 10では無効化されてしまったことで「つながらない」というトラブルが発生したのだ。とはいえ、Windows 10を搭載したすべてのパソコンで同様のトラブルが発生するわけではない。つながらないのは新規に導入したパソコンなどごく一部だ。なぜ、パソコンによってこうした違いが発生

by Peter Dahlgren ユーザーのネットワークに侵入したマルウェアは、侵入した後にさらなる攻撃を仕掛けるためにユーザーのルーターを利用することが多々あります。しかし、Symantecが発見したLinux.Wifatchというマルウェアは、Linuxを搭載する1万台ものルーターに感染しておきながら、悪用ではなくむしろ「デバイスのセキュリティを高める動き」をしていたことがわかりました。 Is there an Internet-of-Things vigilante out there? | Communauté Symantec Connect http://www.symantec.com/connect/blogs/there-internet-things-vigilante-out-there Someone Has Hacked 10,000 Home Routers

「location.href="calculator:"; でEdgeから電卓たちあがる」のは、色々使えそうなので備忘録的に

えっ、そんなセキュリティレベルで大丈夫なの？ 不正アクセスや重要機密情報の漏えいなど、セキュリティ関連の不穏なニュースが後を絶たなかった2014年でしたけど、意外とそんな中でも日本のスマートフォンユーザはガードが甘かったりするのかもしれませんよ……。 例えば、昨年末にMMD研究所が、日本国内の20歳以上のiPhoneならびにAndroidスマートフォンユーザを対象に実施した｢スマートフォンのセキュリティに対する意識調査｣によれば、スマホに画面ロックを設定しているという回答者は、半数を割る46.2％に過ぎなかったことが明らかになっています。また、何らかの画面ロックを設定している人のうち、よりセキュリティレベルが高いとされる指紋認証や英数字混在の暗証番号入力方式を設定している人は3分の1程度で、ほとんどのユーザは4桁の数字を入力するデフォルトのPINコード方式しか使ったことがないと回答していま

弊社ホームページにおいて、2014年12月6日11時～14時のあいだ、第三者からの不正アクセスによりサイトが改ざんされていた事が判明いたしました。ご利用頂いておりますユーザの皆さまにおかれましてはご迷惑をお掛けいたしまして、深くお詫び申し上げます。 なお、現在は被害を受けたサーバは復旧作業を実施済みです。ご利用ユーザーの皆さまの個人情報流出等は、現在のところ確認されておりません。 被害対象サイト／コンテンツ URL：http://gihyo.jp 改ざん内容とその影響 サーバの中身を入れ替えられ、外部のサイトにリダイレクトされるように設定されていた。 リダイレクトされていたサイト（アクセスしないようご注意ください⁠）⁠ www.koushin-lawfirm.net live.livelistingreport.com 現在把握している改ざんされていた可能性がある期間 2014年12月6日

2014年11月26日 9時0分 リンクをコピーする by ライブドアニュース編集部 ざっくり言うと 中国製電子タバコにが仕掛けられていたことが判明 電子タバコからUSB経由で接続したPCに、が侵入した 「信頼のおけるメーカーから直接買うべき」と関係者は注意喚起している By さまざまな味のフレーバーを楽しめる上に、禁煙を手助けしてくれる「」は海外で人気が上昇し、日本でも使用する人が増えているようです。電子タバコは専用のUSBケーブルで充電するタイプがほとんどなのですが、に感染したPCの感染経路を調べたところ、電子タバコからUSBケーブル経由で感染した可能性が指摘されました。 The boss has malware, again... : talesfromtechsupport Health warning: Now e-cigarettes can give you malware

はてなブックマークボタンを設置したサイトの一部に対するセキュリティ上の警告について、10月18日に本ブログでお知らせしました。その後の経過について報告いたします。 はてなブックマークボタンを設置したサイトの一部に対し、はてなブックマークボタンが原因とされるセキュリティ上の警告が報告された件に関して、はてなでは10月15日より調査を開始し、これまでに以下の4点を確認しています。 はてなのサーバーに対する攻撃者の侵入はない はてなとレジストラの間の認証情報（アカウント）は悪用されていない 権威DNSサーバーに対する攻撃ではない はてなが契約するCDNサービスに対する攻撃ではない また、上記の問題について、10月20日に一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）よりドメイン登録情報の変更に関する情報が寄せられ、はてなでもJPCERT/CCなど関係機関に協力して調査を

2014年11月5日にJPCERT/CC、JPRSがドメイン名ハイジャックに関する注意喚起を公開しました。また同日日本経済新聞社が同社サイトがこの攻撃を受けていたことを速報で報じました。*1 ここでは関連情報をまとめます。 注意喚起・対策 JPCERT/CC 登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起 JPRS （緊急）登録情報の不正書き換えによるドメイン名ハイジャックとその対策について（2014年11月5日公開） JPRS (PDF) 補足資料：登録情報の不正書き換えによるドメイン名ハイジャックとその対策について JPNIC IPアドレス・AS番号/ドメイン名に関する登録情報の不正書き換えに関する注意喚起 タイムライン 日付 出来事 9月第1週 Volexityが日経で不正なサイトへの接続を確認。 10月9日 VolexityがBlog記事を公開。 10月15日

Platform solutionsArtificial intelligenceBuild, deploy, and monitor AI models and apps. Linux standardizationGet consistency across operating environments. Application developmentSimplify the way you build, deploy, and manage apps. AutomationScale automation and unite tech, teams, and environments. Explore solutions Use casesVirtualizationModernize operations for virtualized and containerized work