初めてAWSを使っていくときに読んでおきたいセキュリティの覚書、管理者編です。これからAWSの管理者となる人は是非読んでください。あるいは管理者を任せる方が活用してください。 こんにちは、臼田です。 みなさん、AWSのセキュリティ気にしてますか？(挨拶 今回はこれからAWSを使う組織や使い始めた組織向けに、AWSセキュリティで絶対に覚えておく必要があることを解説します。 この記事を読んでいただければ、自信を持って安全にAWSを利用し始められます！ なお、初めてAWSを使う利用者に向けた記事として初めてAWSを使うときのセキュリティ覚書〜利用者編〜 | コラム | クラウドソリューション｜サービス｜法人のお客さま｜NTT東日本を先に掲載しています。本記事はこの続編で管理者としての内容を綴っていきます。まだ読んでいない方は先にそちらをご覧ください。 目次 前置き〜AWSの管理は大変？〜 組織に

数億人のウェブユーザーが、新たに発見された危険なサイバー攻撃について警告を受けている。この攻撃はブラウザの種類を問わず、「ダブルクリック」さえすれば成立してしまう。以下に、「ダブルクリックジャッキング（ダブルクリックジャック攻撃）」について知っておくべきポイントをまとめる。 ダブルクリックは危険、新たなハック攻撃が確認される アプリケーションのセキュリティやクライアント側の攻撃手法を研究するパウロス・イベロは、多くの脆弱性や新しいセキュリティ脅威を発見してきた実績を持つ。そのイベロが、ウェブブラウザを使うほぼすべての人に影響しかねない新たな攻撃手法「ダブルクリックジャッキング」を明らかにした。自身のブログ投稿で、ChromeやEdge、Safariをはじめとするほぼあらゆるブラウザで、ユーザーがダブルクリックを行った際に認証情報を奪われてしまう具体的な方法を技術的に示している。 このまった

» 「Amazonマスターカード」で人生初の不正利用されたぞ！ 少額ラッシュで通知を潜り抜ける巧妙な手法 特集 おや？　こんなに使ったかなぁ。いや使ったかもしんねぇ……でもちょっと高すぎる気もする。ちょっと詳細を確認してみるか 今月のクレジットカードの請求を見た時の、この微妙に自信のない疑いが私を救った。ガチで間一髪。あと1日遅かったら損失を取り戻せない状態だったのだ……！ ・Amazonでしか使ってない 今回私が人生初のクレカ不正利用被害にあったのは三井住友カードによる「Amazonマスターカード」。普段は他社のVISAやJCB等のクレカのヘビーユーザーで、三井住友系は「Amazonマスターカード」しか使っていない。 そして「Amazonマスターカード」は私の所有するクレカの中で最も新しく作ったものであり、しかも使用機会が最も限られているものだ。 具体的には、100%完全にAmazonの

【読売新聞】　兵庫県の斎藤元彦知事は２日、自身のパワハラなどの疑惑を内部告発した男性職員（７月に死亡）の公用パソコンに保存されていた私的情報のデータが漏えいした疑いがあるとして、弁護士を含む第三者機関による調査を検討する考えを明らか

オイシックス・ラ・大地は11月26日、食品宅配ECサービス「Oisix.com」がパスワードリスト型攻撃による不正ログインを受け、9万7533件の個人情報が閲覧された可能性があると発表した。同社は不正ログイン攻撃対策としてWAF（Web Application Firewall）を導入していたが、防げなかったという。 クレジットカード番号は決済代行会社が保持しているため流出の可能性はない。 第三者が外部から不正に取得したIDとパスワードを使い、ユーザーになりすましてログインする行為を11月24日に検知。24、25日にかけ、9万7533件のIDが不正ログインを受けたという。 不正ログインで閲覧された可能性があるのは、ユーザーの氏名、住所、電話番号、メールアドレス、配送先の氏名、住所、電話番号、メールアドレス、予約・購入履歴。 不正ログイン検知後、サーバ側で対策を講じたという。該当顧客のパスワ

ウエルシア薬局（東京都千代田区）は11月8日、外部からの不正アクセスにより個人情報が漏えいしたおそれがあると発表した。公式通販サイト「ウエルシアドットコム」に携わる従業員がサポート詐欺に遭った。 10月24日に従業員がサポート詐欺のWebサイトに誘導され、遠隔操作ソフトをインストールさせられたことで不正アクセスを受けた。これにより、ウエルシアドットコム利用者3万9805人分の個人情報や、ウエルシア薬局グループ社員931人分の情報が漏えいしたおそれがある。 サイト利用者の情報には、氏名、住所、電話番号、生年月日、性別、ウエルシアドットコム利用時のIDとパスワード、購入商品情報が含まれる。従業員情報は氏名、所属組織、会社のメールアドレスという。 同社は外部調査会社を使って被害状況と影響範囲を調査している。8日までに漏えいの事実および被害は確認されていない。詳細は改めて公表する。 同社は利用者や

1万4000以上のDiscordチャットサーバーから、6億2000万人近くのユーザーがやりとりした40億件以上のメッセージを抜き出し、そのアクセス権を販売していると主張するサービス「Spy.pet」について、イギリスのニュースサイト・The Registerが報じました。 Site claims to have harvested 4B+ Discord chats, all on sale • The Register https://www.theregister.com/2024/04/16/discord_network_sale/ 伝えられるところによると、Spy.petがサービスを開始したのは2023年11月で、ユーザーの同意を得ているとは考えにくい形でDiscordサーバーとそのユーザーのアクティビティを抽出しているとのこと。 データの用途までは不明ですが、The Regis

マルウェア感染経路で「Discord」「OneDrive」突出――セキュリティ会社が警鐘：“PPAP”廃止の余波か（1/2 ページ） セキュリティソフトなどを開発するデジタルアーツ（東京都千代田区）は1月17日、パスワード付きZIPファイルとパスワードを同じ経路で送信する方法（いわゆるPPAP）の代替手段として利用が進むファイル共有サービスが、マルウェアの感染経路になっているとするレポートを発表した。特にゲームプレイヤー向けのチャットサービス「Discord」と、米マイクロソフトのクラウドサービス「OneDrive」を使った手法が突出しているとして、警鐘を鳴らしている。 レポートによると、マルウェアを仕込んだファイルを2サービス上にアップロード。生成されたURLからファイルをユーザーにダウンロードさせ、感染させる手法だという。セキュリティ関係者による悪性URL共有プロジェクト「URLhau

GoogleがChromeの拡張機能を新仕様の「Manifest V3」へ移行する中、旧仕様の「Manifest V2」のみでの提供だったuBlock Originなどに対しては「使えなくなる」旨の警告を表示しています。そしてついに、ChromeからuBlock Originが削除されるなどの段階的廃止措置が始まりました。 Google Chrome’s uBlock Origin phaseout has begun - The Verge https://www.theverge.com/2024/10/15/24270981/google-chrome-ublock-origin-phaseout-manifest-v3-ad-blocker Manifest V3への移行に際し、uBlock OriginはManifest V3をサポートしていないため、Chromeが同拡張機能を自

あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… Niishi Kubo | GitLab,Limeboard @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 「組織はユーザーに定期的なパスワード変更を要求してはならない」──米国政府機関の米国立標準技術研究所（NIST）が、そんな内容を含めた新しいガイダンス「SP800-63B」を発表した。パスワードの内容は、セクション3.1.1に記されている。 多くの人々が新しいパスワードを考え出し、それを覚えることに苦労している。セキュリティ上の理由から、多くの組織がユーザーや従業員に定期的なパスワードの変更を要求し、もしくは義務付けている。しかし今、米国政府はソフトウェアやオンラインツールを作成・運用する組織にこの慣行をやめるよう呼びかけている。 これは、Webサイト

先月１９日に世界的なシステム障害を引き起こした米サイバーセキュリティー企業クラウドストライクの株式をグーグルの親会社アルファベットが障害発生前に売却していたことが明らかになった。クラウドストライクのロゴ。（2024年　ロイター/Dado Ruvic/Illustration/File Photo） [２日 ロイター] - 先月１９日に世界的なシステム障害を引き起こした米サイバーセキュリティー企業クラウドストライク(CRWD.O), opens new tabの株式をグーグルの親会社アルファベット(GOOGL.O), opens new tabが障害発生前に売却していたことが明らかになった。

LayerX Fintech事業部*1で、セキュリティ、インフラ、情シス、ヘルプデスク、ガバナンス・コンプラエンジニアリングなど色々やってる @ken5scal です。 今日はFintech事業部らしく、金融庁が意見募集をしていた「金融分野におけるサイバーセキュリティに関するガイドライン」（案）*2について感想を記載します。 具体的には、よかったな〜とおもうところ、きになったところ、最後にルールメイキングやっていこうぜ！という内容です。 もちろん良い子のFintechのみんなは提出したよね？ www.fsa.go.jp 本邦におけるサイバーセキュリティの確保について「サイバーセキュリティ基本法」を軸として各種施策が定められています。 その中で当社Fintech事業部が取り組むような証券サービスは「重要社会基盤事業者（重要インフラ事業者）」に位置づけられています。これは証券サービスが「他に代

証明書認証局(CA)のLet's Encryptが、公開鍵の証明書の失効状態を取得する通信プロトコルであるオンライン証明書状態プロトコル(OCSP)のサポートを終了することを明らかにしました。 Intent to End OCSP Service - Let's Encrypt https://letsencrypt.org/2024/07/23/replacing-ocsp-with-crls.html Let's Encryptのエグゼクティブディレクター兼共同創設者であるジョッシュ・アース氏は2024年7月23日に、「私たちは本日、OCSPのサポートを終了し、証明書失効リスト(CRL)をできるだけ早く導入する意向を発表します」と述べました。 Let's Encryptは記事作成時点で約10年間にわたってOCSPのレスポンダーを提供してきましたが、2022年からはCRLのサポートも行っ

防衛省は、国の安全保障にかかわる「特定秘密」の情報や潜水手当の受給などをめぐり、違反や不正があったとして、事務次官や自衛隊制服組トップを含む合わせて218人を12日処分しました。200人以上が一斉に処分されるのは極めて異例の事態で、木原防衛大臣は最も多くの違反があった海上自衛隊トップの海上幕僚長を交代させることを明らかにしました。 目次 防衛省 218人処分 海上幕僚長を交代へ 《確認された違反や不正》 防衛省によりますと、違反や不正が確認されたのは、国の安全保障にかかわる「特定秘密」の情報の取り扱いと、潜水手当の受給、部隊で無料で提供される食事の飲食、パワーハラスメントの4件です。 このうち「特定秘密」をめぐっては、海上自衛隊の艦艇38隻で船舶の動向に関する情報などを資格のない隊員でも見ることができる状態にするなど陸海空自衛隊などで合わせて58件の違反が確認されたということです。 潜水手