みなさんこんにちは。 FUJITSU その2 Advent Calendar 2018 17日目の記事担当は私 ゆきはらです。 前回14日目はkeiya-nobutaさんのSphinxの導入とLinux Kernelドキュメントのビルドで、 18日目はhasunumaさんの富士通サイバーセキュリティーワークショップ(FCSW)2018参戦記となっています。 はじめに なぜこのテーマにしたか Webアプリケーションに対する代表的な攻撃手法としてXSS（クロスサイトスクリプティング）とCSRF（クロスサイトリクエストフォージェリ）というものがあります。 しかしこの二つ、名前だけでなく攻撃手法も似ていて違いがとてもわかりづらいです。かつて私がセキュリティを勉強していたときもよく混同していました。 そこで、この記事ではXSSとCSRFの仕組みとそれらの違いについてまとめることにしました。 対象とす

よくある問い合わせフォームを提供していたら、知らぬ間にスパムメールの加害者になっていた話です エンジニアが知っておくべき メール送信・運用ノウハウ、メールの認証技術やセキュリティについて投稿しよう！ by blastengine Advent Calendar 2024 の8日目です。 要件 お問い合わせ内容の他、名前や所属、メールアドレスの入力が必須 問い合わせ完了後、入力されたメールアドレス宛に自動応答メールを送る 自動応答メールには入力された問い合わせ内容を記載する 同様に指定したサービス担当者宛にも問い合わせ通知メールを送る 以上の要件で作成しました。 実現方法 メール送信にはAWS SESを使用しました。問い合わせ確定ボタンを押下後にAWS Lambdaにリクエストを飛ばし、SESと連携してメールを送信する流れです。 実装後のこと 実装後、しばらく正常に稼働していました。しかし、

先日、SNSを眺めていたら「幼稚園で情報漏えい被害に遭った」という知人の投稿が流れてきました。調べてみると、保育関連サービスを提供するライクキッズでインシデント報告が挙がっていました。 ざっとこの報告を読んだところ、「個人情報合計15万8410件」「マイナンバー情報」という文字が目に入ってきました。あくまでそれらは情報漏えいの“可能性”での数字ですので影響は何とも言えません。ただ、ランサムウェアを原因としてシステム障害が発生し、暗号化されたデータが存在すると考えると、昨今の攻撃を鑑みれば外部に流出した可能性は高いと思われます。 このインシデントそのものは引き続き状況をウォッチしていく必要があります。ただし報告の中で、いい意味で教訓となる、気になる一文がありましたので紹介しましょう。 大企業にはマネできない　冴えたシステム復旧の方法とは？ その一文とは以下の通りです。 ここにあるように、ライ

みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。（正規の仕様を悪用） Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファ

サイバー攻撃を代行する海外のネットサービスを使って企業などのウェブサイトにサイバー攻撃を仕掛けたなどとして、中学生2人が書類送検や児童相談所への通告をされていたことが警察庁への取材で分かりました。世界各国ではこうしたネットサービスを利用した人が300人以上いることも分かり、警察庁などが注意を呼びかけています。 警察庁によりますと、ことし10月、サイバー攻撃を代行する「IPストレッサー」という海外のネットサービスを使って、国内の企業や自分が通っている学校に関係するウェブサイトにサイバー攻撃を仕掛けたとして国内に住む中学生が書類送検されたということです。 このサイバー攻撃は「DDoS攻撃」と呼ばれ、大量のアクセスをしてウェブサイトをダウンさせるもので、中学生は「YouTubeでDDoS攻撃の動画を見て、かっこいいと思った」などと供述していたということです。 また、別の中学生1人も、「IPストレ

米国立標準技術研究所（NIST）は2024年12月4日（現地時間）、情報セキュリティ測定に関する包括的なガイド「Measurement Guide for Information Security（情報セキュリティ測定ガイド）」の最終版となる特別刊行物（SP）を公開した。 SP 800-55v1およびSP 800-55v2と名付けられたこれらのガイドは組織が実施する情報セキュリティ施策の成果を評価し、データに基づく意思決定を支援することを目的としている。 情報セキュリティ施策の評価および優先順位付けのガイドラインをNISTが公開 SP 800-55v1では情報セキュリティ対策の選定や優先順位付けに向けた柔軟なアプローチを提示している。定量的および定性的な評価を基にした対策選定を支援し、データ分析手法や影響と可能性のモデリングについての基本的なガイダンスが提供されている。 対策の開発やテスト

セキュリティ対策を担う皆さんにお伝えしたい。新しいセキュリティ対策のフレームワークが注目を集めている。その名も「CTEM」（シーテム）だ。ご存じだろうか。 正式名称は「Continuous Threat Exposure Management」で、日本では「継続的な脅威とエクスポージャーの管理」と呼ばれている。近年は攻撃者の侵入を前提にしたセキュリティ対策が主流だが、脅威にさらされているIT資産を継続的に管理する予防型のアプローチが再注目される中、国内でもじわじわと認知され始めている。 ITシステムにおける「エクスポージャー」、つまり「リスクにさらされている箇所」が増加し続けているという課題感が、CTEMが注目されている理由だ。例えば脆弱（ぜいじゃく）性、設定ミス、IDや特権付与の不備などが該当する。デジタル化やクラウド活用が広がったことでセキュリティ担当者が対処すべき脆弱性や設定ミスなど

どうも、野溝のみぞうです。趣味でサイバーセキュリティをやっている者です。 私は色んなセキュリティ系勉強会なりイベントなりに顔を出していまして、初対面の方と交流を持たせていただくことも多いのですが、その中でこんな質問をお受けすることがあります。 「セキュリティに興味があるのですがどうしたらいいかわからない」 まあ、質問いただいている方もそれほど重いトーンで聞いているわけではないということも頭では理解していますが（単なる世間話レベルかもしれない）答える側としては真摯に答えようと思って色んなことを考えてしまうわけです。なぜならコミュ障のオタクだから！！早口で色んなことしゃべっちゃう！！許して！！ なので、私が特に初心者の方にむけて作っている本だったりコンテンツだったりやっているイベントだったりについてまとめてご紹介したいと思います。ビジネスチャンスかもしれないし。 ホワイトハッカーって200色あ

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? ロシアのセキュリティ会社が企業の公式メルマガを狙ったフィッシングメール・キャンペーンの事例を報告しました。 The international companies official newsletters are used to steal money from bank accounts とても単純な手口ですが意外と多くのサイトで見落とされているのではないかと思ったのでご紹介します。 フィッシングメールの現況 本題に入る前に少しだけフィッシングメールの現況について触れておきます。ここではトレンドマイクロ社が公開している資料を参考にして

社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 【IIJ 2024 TECHアドベントカレンダー 12/6の記事です】 今年のIIJアドベントカレンダーは「運用」がテーマということなので、運用に欠かせない必携ツール筆頭であるSSHを取り上げ、SSHの秘密鍵を安全に管理する方法について考えたいと思います。 たとえSSH秘密鍵が漏洩しても、安全を確保する方法 踏み台サーバにSSH秘密鍵を置かずに利用する方法 SSH秘密鍵の安全な置き場所を考える SSH秘密鍵は一般的に ~/.sshにファイルとして管理されていると思いますが、不安に感じることはありませんか？ ノートPCに

本記事は株式会社ニーリーアドベントカレンダー4日目の記事です！ SREチームの大木です👋 寒くなってくるとスノボを感じてワクワクしてきますね 🏂 2024年10月24日に開催されたAWSセキュリティインシデント擬似体験ワークショップ に参加してきました！色々学びを得られたので、テックブログとして残そうと思います🙌 具体的な内容に関してはネタバレになってしまうので、その辺りはぼかしつつレポしていく所存ではあります。 インシデント擬似体験WSとは？ AWSさんが提供するワークショップの中でも、複数人が集まって行うセッション形式のワークショップです。 セキュリティインシデントを再現したAWS環境が用意され、出題されるクイズに答えながらインシデント調査の技術を習得することができるものです。 クイズ終了後は講師の方によるインシデント調査方法の解説があり、そこでより学びを深めることができます。

米Google（グーグル）はメールサービスGmailの迷惑メール対策を強化するための「メール送信者のガイドライン」を、2024年6月から本格的に適用している。この影響でメールが届かなくなる状況は「Gmail届かない問題」などと呼ばれ話題になった。 ガイドラインのポイントの1つは、「DMARC」に対応する必要があることだ。DMARCは、なりすましメールを防ぐ技術である送信ドメイン認証の一種である。1日当たり5000件以上のメールを送信する場合、送信元がDMARCに対応していないとGmailに届かない恐れがある。 このためグーグルのガイドライン適用を機に、DMARCに対応する企業が大幅に増加した。グーグルの狙い通りであり、望ましい状況と言える。だが迷惑メール対策としての実効性を考えると、まだまだ十分とは言えない。「ポリシー」が甘いからだ。 ポリシーが「none」では意味がない DMARCの特徴

はじめに マルチアカウント環境でAWS Security Hubに統合されたAmazon Inspectorの未改善の脆弱性検出結果を、週次でメール通知する方法をご紹介します。 Amazon Inspectorでは、脆弱性の検出結果が一度だけ作成されます。 そのため、検出結果の作成をトリガーにAmazon EventBridge経由で通知する一般的な方法では、一度しか通知されず、その後の通知が行われません。 この仕組みでは、重要な脆弱性を見逃してしまうリスクがあります。 そのため、定期的に未改善の検出結果を通知する仕組みを構築する方法をご紹介します。 本記事では、マルチアカウント環境でInspectorがSecurity Hubと統合された構成を想定しています。 Amazon EventBridge Schedulerを使用して週次でAWS Lambdaを起動し、LambdaがInspec

オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら

金融分野におけるサイバーセキュリティ対策について、ご紹介させて頂きます。 最近の更新状況 令和６年10月８日「金融業界横断的なサイバーセキュリティ演習（Delta Wall Ⅸ）」について公表しました 令和６年10月４日「主要行等向けの総合的な監督指針」等の一部改正（案）及び「金融分野におけるサイバーセキュリティに関するガイドライン」（案）に対するパブリックコメントの結果等の公表について 令和６年９月26日量子コンピュータの登場に伴う機会とリスクに備えた計画に関するG7サイバー・エキスパート・グループによるステートメントの公表について さらに見る トピックス ＜金融分野におけるサイバーセキュリティ強化に向けた取組方針＞

こんにちは。NFLabs. Offensive Teamの岩崎です。 本記事はNFLabs. アドベントカレンダー 10日目の記事となります。 近年、多くのWebサービスではCDN(Content Delivery Network)と呼ばれるWebコンテンツ配信サービスが利用されております。CDNは世界中に分散配置されたコンテンツサーバの中から、ユーザに対しネットワーク的に近いロケーションからコンテンツを返すことで効率的なコンテンツ配信(高速配信や多くのユーザへの同時配信など)を実現する技術です。 また、昨今はDDoS攻撃対策を目的としてオリジンサーバを秘匿する用途で利用されるケースも増えております。 本記事ではCDNのオリジンサーバのIPアドレス(以降、オリジンIP)を調査する方法について共有いたします。 特定方法 1. 特徴的なレスポンスを基にした調査 2. 関連するドメイン名の調査