概要 現代の組織は急速な変化に直面しており、リモートワーク普及、DX推進、AI活用が進む一方で、情報漏洩やセキュリティ事故も多発しています。このような背景から「ゼロトラスト」が注目されていますが、多くの企業が具体的な対応に迷い、不適切な導入により効果を得られていない現状があります。本書は、読者が自社のITインフラを主体的に設計できるようになることを目指し、ゼロトラストの概念と具体的な実装の両方を解説します。筆者の幅広い経験に基づき、形式的なHow toではなく、「何をやるべきか（What）」と「なぜそれを行うのか（Why）」を明確にすることで、各企業が自社の課題解決にゼロトラストを活かせるようになることを目的としています。 目次 第1章　ゼロトラストが登場した背景 人も資産も組織ネットワークの外側に セキュリティ業界への失望 第2章　ゼロトラストという戦略 情報システムは組織のコアになって

セブンイレブンのQR決済「7Pay」がリリース翌日から大規模な不正アクセスの被害を受け、少なくとも約900人が、計約5500万円の被害を受けた。原因は杜撰なIDの設計にあり、被害者はいずれもIDを乗っ取られて、クレジットカードから不正にチャージされた。 自分の設定したIDとパスワードを入力して、どちらも正しい場合にログインできる仕組みは1960年代前半に発明されて以来、今もインターネット上で最も広く利用されている。GAFAはじめYahoo!や楽天といった大手企業が今も使っていることから、十分に安全と思われがちだ。 ところが実際のところ特にここ数年は非常に激しい攻撃に晒されており、血の滲むような努力と不断の改善によって維持されている。利用者は自分が入力したIDとパスワードしか意識しないけれども、その裏では端末環境の特徴やアクセス元のIPアドレスや位置情報、同時に利用している他の端末など、実に

株式会社ヤマダ電機の運営するECサイトから、最大37,832件のクレジットカード情報が漏洩したと昨日発表されました。ヤマダ電機のように日本を代表する家電量販店のサイトからクレジットカード情報が漏洩したことに私自身驚きました。 弊社が運営する「ヤマダウエブコム・ヤマダモール」への不正アクセスによる個人情報流出に関するお詫びとお知らせ 漏洩した情報は以下のように発表されています。 クレジットカード番号 有効期限 セキュリティコード はてなブックマークやtwitterのコメントを見ていると、「セキュリティコードを保存していたのか」という意見が見えますが、おそらくセキュリティコードは保存されていなかったと推測します。 本稿では、この件を含め、本年の現時点までのウェブサイトからのクレジットカード情報漏えい事件についてまとめました。 事件の一覧 下表に本年(2019年)の現時点までに公表されたウェブサ

Googleが発見した「CPUの脆弱性」とは何なのか。ゲーマーに捧ぐ「正しく恐れる」その方法まとめ ライター：米田 聡 一般メディアにもニュースとして取り上げられたので，2017年末からにわかに騒がれだした「CPUの脆弱性」については，4Gamer読者も多くが聞き及んでいることだろう。海外では，「Spectre」（スペクター）や「Meltdown」（メルトダウン）といったおどろおどろしい名前が付いているので，そちらを目にしたという読者もいると思う。 「Intel製のCPUだけが持つ脆弱性で，AMD製のCPUなら問題ない」から始まって，「いやいやAMD製のCPUも同様の脆弱性を抱えている」，さらには「メモリページング方式の仮想記憶を使うCPUのすべてが持つ脆弱性である」などと，情報が錯綜しているので，何を信じたらいいのか分からないという人も多いのではなかろうか。そもそも，メモリページング方式

ミスティーノは、仮想通貨でも遊べるオンラインカジノです。仮想通貨での入金には、Bitcoin、Ethereum、Litecoin、Bitcoin Cashなどが使用できます。また、出金も仮想通貨で行うことができます。 また、ミスティーノでは、スロットやテーブルゲーム、ライブカジノ、ポーカー、ビデオポーカー、バカラ、サイコロなど、様々なオンラインカジノゲームが楽しめます。さらに、スマートフォンやタブレットでのプレイも可能ですので、いつでもどこでもカジノゲームを楽しむことができます。 実際にミスティーノで遊んでみた感想 ミスティーノでは、新規登録や入金などに応じて、さまざまなボーナスが提供されています。 新規登録ボーナスとしては、入金不要で手に入る「フリースピン」があります。また、入金ボーナスとしては、入金額に応じた「マッチボーナス」が提供されることがあります。さらに、プレイヤーのレベルが上が

注：　本稿は元はJSON Web Tokens（JWT）について書いたものですが、JWTはJavascript Object Signing and Encryption（JOSE）のサブセットであるため、以下の批評はどちらかというとJOSE全体に焦点を当てています。 もし既にJavascript Object Signing and Encryption（JOSE）を実装することを決めているなら、それがJSON Web Tokens、JSON Web Encryption（JWE）、JSON Web Signatures（JWS）のいずれであっても、その決断に疑問を持つべきです。間違いを犯そうとしている可能性があります。 この投稿に書いたことはすべて、RFC 7519、RFC 7515、そしてRFC 7516に則っています。将来、新規のRFCでは以下に挙げるような欠陥はなくなっている可能

こちらは改訂前の旧版のページです。改題第2版の商品ページをご覧ください Webセキュリティ解説の決定版 "Bulletproof SSL and TLS" の全訳（原書2017年版へのアップグレード済み） Ivan Ristić 著、齋藤孝道 監訳 520ページ B5判 ISBN：978-4-908686-00-9 電子書籍の形式：PDF 2020年7月4日 第1版第5刷 発行（原書2017年版アップグレード対応済み） 本サイトにてユーザ登録のうえ購入いただくと、原著改訂第2版に収録されるTLS 1.3の解説章を付録として含んだ特別版PDFがお読みいただけます 現代生活を支えるネットワークにとって、通信の暗号化は不可欠の機能です。しかし、実際のインターネットで暗号化通信を利用できるようにするには、暗号化アルゴリズムの知識だけでなく、セキュリティプロトコルとその実装技術、さらに、基盤となる信

The latest news and insights from Google on security and safety on the Internet

いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。 後は、関連するニュースなどを徒然と。 前回、前々回とPokemon Goのログインの流れを見てきました。 攻略！ #PokemonGo のログインと OpenID Connect http://idmlab.eidentity.jp/2016/07/pokemongo-openid-connect.html 続！#PokemonGo のログインと OpenID Connect http://idmlab.eidentity.jp/2016/07/pokemongo-openid-connect_25.html これまでのポストでは、主にGoogleでログインすることで、Googleサービスへの不要なアクセスができる状態になっていないか？という観点で調査をしてきましたので、Scopeパラメータを見る限りはメールアドレス

データ分析手法を取り入れた新しいアプローチによるネットワークセキュリティ対策を、本書では紹介しています。従来の場当たり的な侵入検知やログファイル解析といった手法では、ネットワークのセキュリティを確保するのが不十分であるとの認識から、さまざまなデータを系統的に収集し多元的に分析した上で、適切な対策を講じようという、いままでにない視点で書かれています。ネットワークを監視し、分析し、その結果からネットワークセキュリティを強化、改善して、安全なネットワーク環境の実現を図るための基本的な知識を解説し、SiLK、R、Pythonによるスクリプトなどの役立つツールを紹介します。系統立ったセキュリティ手法を身に付けることにより、場当たり的ではなく、継続的かつ計画的なセキュリティ対策を取ることが可能となります。 目次 はじめに 第Ⅰ部　データ 1章　　センサーと検出器：入門 1.1　配置：センサーの設置位置

徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ

大変ご迷惑をお掛けいたしますが、 何卒ご容赦くださいますようお願い申し上げます。 Sorry, we are currently undergoing maintenance. We apologize for the inconvenience. ■ お問い合せ先： お急ぎの場合は、大変お手数をお掛けいたしますが、 下記までご連絡いただきますようお願い申し上げます。 ＜エムオーテックス株式会社 東京本部＞ 〒108-0073 東京都港区三田3-5-19 住友不動産東京三田ガーデンタワー 22階 TEL: 03-3455-1811 E-mail: press@motex.co.jp

Justin Seitz　著、青木 一史、新井 悠、一瀬 小夜、岩村 誠、川古谷 裕平、星澤 裕二　訳 TOPICS Security , Python 発行年月日 2015年10月 PRINT LENGTH 256 ISBN 978-4-87311-731-7 原書 Black Hat Python FORMAT Pythonは情報セキュリティの世界では他よりも先んじているプログラミング言語です。本書ではPythonを使った情報セキュリティにおける攻撃手法について解説します。前半ではrawソケットやScapyライブラリなどネットワーク関連の内容を扱います。後半ではCOMをPythonから扱う方法やVolatilityフレームワークなどシステム関連のトピックを扱います。読者はコーディングを通じてサンプルPythonツールの拡張、外部ツールとの連携や自動化について学習することができます。攻撃

［速報］アプリケーションのセキュリティを自動査定してくれる「Amazon Inspector」発表。AWS re:Invent 2015 Amazon Web Servicesがラスベガスで開催しているイベント「AWS re:Invent 2015」。 初日の基調講演で同社シニアバイスプレジデントAndy Jassy氏が最後に紹介した新サービスが、セキュリティの自動アセスメントツール「Amazon Inspector」です。 Jassy氏「Amazon Inspectorは自動化されたセキュリティアセスメントサービスだ。AWS上にデプロイされたアプリケーションのセキュリティやコンプライアンス上の問題を発見してくれる」 査定の対象となるのは、ネットワーク、仮想マシン、OSとアプリケーションのコンフィグレーション。同社のこれまでの知見から一般的なセキュリティに関する脆弱性のパターンなどを検出し

三菱東京UFJ銀行は17日、振り込みなど資金決済を伴うインターネット取引で本人認証に使う「固定パスワード」を廃止すると発表した。新規契約では8月9日から、既存の利用客は2016年度前半をメドに、パスワードが利用するたびに変わる「ワンタイムパスワード」に全面的に移行する。パスワードの不正入手による被害を食い止める狙いだ。スマートフォンの場合は8月に配信される新しい取引アプリにパスワード機能が内蔵

第３５９号コラム：上原 哲太郎 理事（立命館大学　情報理工学部　情報システム学科　教授） 題：「情報セキュリティ人材が足りない、は本当か」 情報セキュリティの世界を支える人材の育成は、いつでも良く課題として取り上げられてきましたが、最近特にその声が大きくなってきています。２０１３年６月情報セキュリティ政策会議の「サイバーセキュリティ戦略」でも人材育成は大きく取り上げられ、２０１４年５月には「新・情報セキュリティ人材育成プログラム」が打ち出されました。 これらでは、情報セキュリティ人材の不足が言われています。その根拠となっているのは、多くの場合２０１２年に行われたＩＰＡの「情報セキュリティ人材の育成に関する基礎調査」報告書ではないかと思います。 http://www.ipa.go.jp/security/fy23/reports/jinzai/ 曰く、企業における情報セキュリティ人材は現在２

Lenovo製のPCの一部にSuperfishというマルウェアが標準でインストールされていることが確認され、大きな問題となっています。 [2015-11-24追記] DELL製のPCにも、「eDellRoot」とされるSuperfishと同様の問題を持つルート証明書が導入されているようです。 DellのPCに不審なルート証明書、LenovoのSuperfishと同じ問題か - ITmedia エンタープライズ Dude, You Got Dell’d: Publishing Your Privates - Blog - Duo Security Joe Nord personal blog: New Dell computer comes with a eDellRoot trusted root certificate https://t.co/chURwV7eNE eDellRootで

TechCrunch Daily News Every weekday and Sunday, you can get the best of TechCrunch’s coverage. Startups Weekly Startups are the core of TechCrunch, so get our best coverage delivered weekly.