AWSを使うなら見ておきたいチェック項目20選 AWSを実務で触られている方で「セキュリティ対策はばっちしだ💪」と言い切れる人はどれくらいいるでしょうか。特に創業間もないベンチャー企業や内製化直後のエンジニア組織の場合、サービスローンチや追加機能開発がビジネス上の最優先事項になってしまい、セキュリティ対策などの非機能要件のレビュー、設定などは後回しにされがちです。 そこで今回は、"時間がない人"でも注意したいセキュリティ脆弱性を生みやすい設定や設計の凡ミス集をまとめてみました。また、参考になりそうな記事も併せて紹介しています。 ご注意ください 筆者はAWSリソースに関するセキュリティの専門家ではありません。また本記事では、最低限の内容にとどめているためより詳細な内容は、公式ドキュメントや以下の資料をご覧ください。 1. IAM ポリシーの広すぎる権限 IAMポリシーに適切でない広い範囲の

2017年、インテルやARMのCPUに情報窃取の脆弱性が存在することが明らかになった。通常、CPUのプロセスはほかのプロセスの処理しているデータを読み取ることはできない仕組みになっているが、ある機能を悪用することで実行中のプロセスから本来は入手できてはいけないデータを窃取できることが明らかになった。この仕組みを悪用して複数の攻撃手法が開発されたが、「Spectre-v2 (またはBTI: Branch Target Injectio)」と呼ばれる手法が最も危険な攻撃方法と認識されている。 これら脆弱性に対して、オペレーティングシステム側が対策を導入したほか、CPUメーカーがハードウェア緩和策（eIBRSやCSV2など）を導入した。この緩和策は意図した通りに機能するが、どうやら研究者はこの攻撃手法を復活させることに成功したようだ。 研究者らは「Branch History Injection

PHP フレームワークでのクライアント IP アドレス取得メソッドの実装について で、CakePHP, CodeIgniter, Symfony, Zend Framework でのクライアント IP アドレス取得メソッドについてみてみました。 今回は、実際に自分のサーバで IP アドレスが偽装可能か確認してみましょう。 まず、サーバに検証用のソースを置きます。 CodeIgniter だと、こんなコードになります。 <?php if ( ! defined('BASEPATH')) exit('No direct script access allowed'); class Ip_address extends CI_Controller { function __construct() { parent::__construct(); } function index() { echo

Original article:https://dev.to/dotnetsafer/rip-copy-and-paste-from-stackoverflow-trojan-source-solution-4p8f その昔コピペできない文章というものがありました。 実際は単にフォントを変えているだけというものですが、人間の目に見える文字と実際の文字が異なることを利用した攻撃の一種と見ることもできます。 さて、最近になって似たような攻撃に関する論文が公開されました。 人間には見えない文字を織り交ぜることによって、一見問題ないコードが実は脆弱になってしまうというものです。 ただ論文は堅苦しいうえに長くて読むのがつらいので、具体的に何がどうなのかよくわかりません。 平易に解説している記事があったので紹介してみます。 以下はDotnetsafer( Twitter / GitHub / Web

悲劇は起こった… ある日のLINE A氏「IPアドレスについて教えて欲しい！」 B氏「IPアドレスっていうのは xxx.xxx.xxx.xxx っていうフォーマットの…」 A氏「このリンクなに？」ﾎﾟﾁｰ ＼ﾌﾜｰｵ♡／ B氏（YABE） 何が起こったのか LINE や Twitter などの SNS は投稿されたリンクを自動的に飛べるようにしてくれます。 今回不幸なことに、この .xxx というドメインは存在し、xxx.xxx というドメインは登録されていました。 参考： ドメイン (domain)とは |「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典 ドメイン名の種類 JPNIC そして .xxx ドメインの用途はよりによって… 用途 登録対象 > アダルトエンタテイメント業界用 < >> アダルトエンタテイメント業界用 << >>> アダルトエンタテイメント業界

ウェブサイトやアプリケーションを簡単に構築できるクラウドサービスは便利なものですが、その課金システムは非常に複雑です。通信量や利用した計算リソースに応じて課金する従量課金制のサービスもあれば、条件を満たすことで無料で利用できるサービスもあります。そんなクラウドサービスの無料プランを利用したつもりが、7万2000ドル(約750万円)を請求され倒産寸前に追い込まれたと、ベンチャー企業の創設者が当時の状況をブログに吐露しています。 We Burnt $72K testing Firebase + Cloud Run and almost went Bankrupt [Part 1] | Milkie Way https://blog.tomilkieway.com/72k-1/ We Burnt $72K testing Firebase - Cloud Run and almost went

以前に貴ブログのClover関連記事を読ませて頂いてより、弊社LAN下12台のPC全機でClover v3.0.325.0を快適に便利に利用して来ましたが、全PCをWindows7より10にバージョンアップした頃からなにやらCloverに関わる動作が怪しくなってしまいまして、貴殿記事冒頭の『別のプロセスでフォルダーウインドウを開く』で外してあったチェックマークがいつの間にか入ってしまっていた為、再度外したところ正常動作に戻った経緯がありました。 ところが最近になって、チェックマークは外れているのに3台程のPCがまたClover動作時に不安定になってきており、その原因が不明です。 Cloverやエクスプローラを使っていない時にはまったく問題ありません。 CloverについてGoogle検索しますと、つい最近新しいバージョンClover3.3.7.07011（2017/07/06）が発表されて

先日Twitterに次のような書き込みをしたところ思ったより反応が良かったので、詳細の設定を紹介します。 UDP53番、TCP443番、UDP123番とポートノッキングをするとTCP443番に10秒だけsshdが現れる、という中二病全開の設定をした。皆様にもお勧めしたい。— hnw (@hnw) 2017年3月26日 といっても特殊なことをしたわけではなく、knockdでポートノッキングの設定を行い、iptablesと組み合わせて実現しました。 ポートノッキングとは ポートノッキングというのは、決められたポートを決められた順番で叩くことでファイアーウォールに穴を空けられるような仕組みのことです。ポートノッキングを使えば、TCPの7000番、8000番、9000番の3ポートにパケットを送りつけると22番ポート (SSH) へのアクセスが許可される、といった設定ができます。 ポートノッキングの

エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正　安全確保のため情報公開を先送り Make WordPress Core Conten

(*1) このパターンでは権限昇格要求が発生しません (*2) 権限昇格されないため HKLM 配下へアンインストール情報を書き込む時点で失敗します ■ このメッセージが表示される理由 Windows Vista で登場した UAC (User Account Control) の目的のひとつは、ユーザの意図しないプロセスがログオンセッションを悪用してシステムに害を及ぼす危険を抑止することです。そのため、現在のログオンユーザが管理者権限を持っていても、あるプログラムを管理者権限で実行するためにはユーザが明示的にそれを許可する必要があります。 一方、Windows 環境へ所定のプログラムを登録することを目的とする「インストーラ」は、その性質上多くの場合システムの深部にアクセスする処理を内包しています。そのため通常は管理者権限で実行されなければなりません。そこで問題となるのは、インストーラ側が

また間が開きましたが、すみだセキュリティ勉強会2015#2を開催しました。発表していただいた@inaz2さん、@yasulibさん、ありがとうございました。当日の発表資料は上記の勉強会ブログからリンクしています。 今回の私の発表は、「攻撃を『隠す』・攻撃から『隠れる』」。ポートスキャンをするとsshが100個現れる「ssh分身の術」がメイン(?)です。 当初は、パケットヘッダやプロトコルのすき間にメッセージを隠したり、ファイルを隠すなども考えていたのですが……。あまりに盛りだくさんになりそうだったので、「ポートスキャンをいかに隠れて実行するか・ポートスキャンからどうやって隠れるか」と、ポートスキャンとnmapに絞って発表しました。 発表資料 私の発表資料は以下です。 (PDF)攻撃を「隠す」、攻撃から「隠れる」 発表ノート付きなのでPDFです。以下、落穂ひろいなど。 スキャンするポート数と

どのように判断すべきか 不正中継には、「不正中継しようとしている通信」と「中継にされた後に発生する通信」がある。分析においては影響範囲の特定が重要視されるため、上記の点を考慮する必要がある。 HTTPプロキシを狙う通信の場合は以下のようになる。 上記の場合、攻撃者は不適切な設定のプロキシソフトウェアを探している。ソフトウェアの設定でログを残すようにしていれば、該当の通信が成功したかどうかを判断できる。 プロキシソフトウェアを利用していない場合は、該当のポート番号（8080）で何が稼働しているかの調査から始めるべきだ。 影響範囲の特定は該当の通信が攻撃であるかどうかを判断する。今回の場合は攻撃ではないので、サーバ側に適切な設定をすればよい。しかし、第1回で紹介したような攻撃の通信であった場合、中継先の状態まで確認する必要がある。 もう1つの例もほぼ同じ判断をする。

インターネットに複数の端末をつなげられる家庭用ルーターを悪用する新たなサイバー攻撃があり、ネットが利用できなくなる通信障害が今春以降、多発していることが分かった。 少なくとも４８０万世帯が通信障害の影響を受けており、総務省は悪用されるルーターの利用者に対し、ソフトを更新するよう呼び掛けている。 この攻撃は「ＤＮＳアンプ攻撃」と呼ばれ、大量にデータを送りつけてサーバーを使えなくするＤＤｏＳ（ディードス）攻撃の一種。 一部の家庭用ルーターが、本来受け付けない外部からの通信に応答してしまう弱点を悪用し、攻撃者がそのルーター経由でプロバイダーのサーバーにデータを送ると、データが数十倍に増幅される。これを繰り返してサーバーに過大な負荷を与え、ネット利用を一定期間できなくさせる。高度な技術を必要としないため、初心者ハッカーの腕試しではないかとみられている。 今年５月末以降、この攻撃による通信障害を明ら