こんにちは、エンジニアのikemです。 以前、Hack The Box をさわる機会がありました。 これはペネトレーションテスト学習用のためのオンラインプラットフォームです。 攻撃用の検証環境(Machine)が用意されていて、シェルを奪取するなどしてフラグ(user.txtとroot.txt)を取得することが目的です。 Machineはさまざまなものが用意されており、難易度はeasy, mediam, hard, insaneの4種類があります。 Webプログラミングとは異なるスキルが要求されるため、新鮮な体験でした。 今回、Hack The Box をやってみて、便利だと思ったツールを3つ紹介したいと思います。 (以下は全て攻撃用の検証環境に対して行ったものです) 1. Nmapネットワークのホスト上で空いているportは何か、どのようなサービス(アプリケーション名とバージョン)が動い

はじめに HackTheBox windows machineのblueです。EternalBlueを試したかったので復習がてらこのマシンをやります。Metasploitを使うと難易度が一気に落ちます。 Enumeration Nmap port scanning nmap -sC -sV blue.htb Starting Nmap 7.93 ( https://nmap.org ) at 2023-02-26 20:36 EST Nmap scan report for blue.htb (10.129.232.51) Host is up (0.18s latency). Not shown: 991 closed tcp ports (conn-refused) PORT STATE SERVICE VERSION 135/tcp open msrpc Microsoft Wind

「Hack The Box」はペネトレーションテストのスキル向上に役立つオンラインプラットフォームです。このプラットフォーム上には、ラボと呼ぶ検証環境があります。これらのラボを使ってユーザは学習を進めます。利用登録をするためには簡単な Invite Challenge を解く必要があります。 その他、ユーザが効率的に学ぶことができるように下記のような環境が用意されています。 専用のコミュニティが用意されている Retired Machine(いわゆる過去問)はWalkthroughが公開される 各問題にはユーザの評価(問題の質・難易度)をつけることでき、それを参照できる

この記事では、GoogleColaboratoryのGPUを使用して、BERTのチュートリアルを行う方法を書いていきます。 学習済みモデルは、GoogleDriveに保存し、GoogleColaboratoryにドライブをマウントして使用します。 ＊注意 GoogleDriveに学習済みモデルがデータセットを保存するため、500MBの空きが必要です。 一度だけ試す場合は、GoogleDriveとGoogleColaboratory、を連携せず、GoogleColaboratoryのGPUインスタンス上にモデルやデータセットを保存する方が良いかもしれません。 ＊宣伝 新しく、BERTを用いて日本語文章の二値分類の記事と多値分類を行う記事を書きました。 次のステップとしてご利用ください。 Google Colaboratory上でBERTを使い、日本語文章の二値分類を行う BERTを用いて、日

画像分類といえば畳み込みニューラルネットワーク（CNN）が有名ですが、畳み込みを使わない手法としてVision Transformer（通称：ViT）があります。ViTは画像認識の分野で革命的な技術と言われており、CNNの手法を凌いでSoTA（State-of-the-Art）を達成してます。どんなもんか使ってみようと思います。 使ってみての感想は？ 画像分類系のアルゴリズムをいろいろ触っている私が実際に使ってみての感想。「精度」「学習速度」は他のCNNモデルと比較してかなりいい！！と思います。一方で「ガンガン過学習する」ような感じもあり、学習データセットの準備やData augmentationはしっかりやった方が良さそうな感じです。メリット・デメリットありますが、Pre-trained model（過去に大量データで学習したモデル）をファインチューニングしたときの威力は半端ないので、迷

from __future__ import print_function import glob from itertools import chain import os import random import zipfile import pickle import matplotlib.pyplot as plt import numpy as np import pandas as pd import torch import torch.nn as nn import torch.nn.functional as F import torch.optim as optim import timm from linformer import Linformer from PIL import Image from sklearn.model_selection import t

キカガク機械学習講師の船蔵颯です！本記事では、深層学習の基盤技術ともいえる Transformer について解説します。 ChatGPT が発表され、言語モデル GPT をベースとしたサービスが非常に身近なものとなってきています。多くの大規模言語モデルがその中核として採用している機構が Transformer です。また、BERT (自然言語処理) や Vision Transformer (画像処理) 、wav2vec 2.0 (音声処理) など、ChatGPT の興隆以前から Transformer は多方面で利用されています。 そのため、Transformer は深層学習の必須知識といえる状況になってきています。本記事では、Transformer の仕組みをポイントを絞ってわかりやすく解説します。 Transformer による革命 Transformer はニューラルネットワークの

0. 忙しい方へ 完全に畳み込みとさようならしてSoTA達成したよ Vision Transformerの重要なことは次の3つだよ 画像パッチを単語のように扱うよ アーキテクチャはTransformerのエンコーダー部分だよ 巨大なデータセットJFT-300Mで事前学習するよ SoTAを上回る性能を約$\frac{1}{15}$の計算コストで得られたよ 事前学習データセットとモデルをさらに大きくすることでまだまだ性能向上する余地があるよ 1. Vision Transformerの解説 Vision Transformer(=ViT)の重要な部分は次の3つです。 入力画像 アーキテクチャ 事前学習とファインチューニング それぞれについて見ていきましょう。 1.1 入力画像 まず入力画像についてです。ViTはTransformerをベースとしたモデル(というより一部を丸々使っている)ですが、

BERTの多言語モデルを用いて二値分類を試してみました。既に先駆者がいらっしゃいますので、二番煎じになります。 ソースコード https://github.com/knok/exp-ml-bertに用意してあります。 READMEにも一通りの説明は記載しました。 対象データ 3種類のデータセットで比較、検討しました。 ライブドアニュースコーパスのうち、「ITライフハック」と「家電チャンネル」の記事 同じくライブドアニュースコーパスのうち、「Sports Watch」と「Peachy」の記事 https://www.aozora.gr.jp/で公開されている、「芥川龍之介」の著作と「宮沢賢治」の著作 下処理 0-setup.ipynbを実行することで、以下の処理を行います。 ライブドアニュースコーパスのダウンロード CoLAデータセットに合わせたtsvへの変換 不要な文字列の除去 データのシ

何をしたのか(概要) 🤗Huggingface Transformersで提供されているmicrosoft/BiomedNLP-PubMedBERT-base-uncased-abstract-fulltextをベースにして、医療論文の2値分類用にFine tuningしました。 Modelには、上記のBERTをベースとして、LSTM, Conv1D, Linear層を追加し、BERTの重みを最大限活かした予測ができるように工夫しています。 Datasetには、Argument(データ拡張)処理を実装し、学習データの文章をランダムに削除したり入れ替えることで過学習の抑制をしました。 ラベル1が全体のうちの 1/43 程度しかなかったこと、評価指標がラベル1の正解を高く評価する指標であることから、損失関数のラベル1に対する重みを130倍 (ヒューリスティックス) に設定した。 Datase

著者のDale Markowitz氏はGoogleクラウド部門に所属するGoogle社員で、最近ではGoogle主催の開発者会議Google I/O 2021で「機械学習のよくある問題の発見と解決」というセッションを担当しました。同氏がMediumに投稿した記事『Transformer解説：GPT-3、BERT、T5の背後にあるモデルを理解する』では、現代の言語AIにおける技術的基礎となっているモデルのTransformerが数式を使わずに解説されています。 Transformer以前に自然言語処理で使われていたモデルは、リカレントニューラルネットワーク（Recurrent Neural Network：RNN）でした。このモデルには長い文章を正しく処理するのが難しい、勾配消失問題の影響を受けやすい、そして処理の並列化が難しいためにモデルの大規模化が困難、というみっつの欠点があったため、自

コンテンツセキュリティポリシー (CSP)とは XSS 攻撃の軽減やデータインジェクション攻撃の軽減をするために追加できるセキュリティレイヤのことです。 web サーバのレスポンスヘッダに"Content-Security-Policy"を設定する必要があります。 設定をすることで、どのアクセスを許可するかといったことやアラートの報告先を指定することができます。 例 Content-Security-Policy: default-src 'self'; img-src \*; media-src media1.com media2.com; script-src userscripts.example.com default-src 'self' すべてのコンテンツをサイト自身のドメイン(サブドメインを除く)から取得させたいということを表します。 img-src * 任意のドメインからの

TOP全ての記事サイト脆弱性をチェックしよう！ --　第20回：CSP（Content Security Policy） Content Security PolicyとはContent Security Policyはブラウザ上でのコンテンツ読み込みを制限してクロスサイトスクリプティング攻撃(XSS)等のリスクを軽減する仕組みである。 WebサーバーがWebページを応答する際、HTTPレスポンスにContent-Security-Policyヘッダーを設定することで、インラインスクリプト(HTML文書内の<Script>タグを使って、直接文書内にJavaScriptを埋め込む方法)やevalなどを禁止したり、ソースの参照先を制限することで信頼できるリソースのみを使用することができる。 Content Security Policyは当初XSSの攻撃を軽減するために設計されたが、その後、ク

Contents Security Policy（CSP） 個人でのお勉強時のメモです。殆どコピペなので。。。 CSPとは？ CSP（Content Security Policy）は、クロスサイトスクリプティング (XSS) 、データインジェクション、クリックジャッキング、パケットキャプチャなどブラウザに表示されるコンテンツを用いた、よく知られた種類の攻撃を検出して軽減するするために追加されたセキュリティレイヤー。 サーバサイドからブラウザに対してコンテンツの使用ポリシーを伝えて各種攻撃を回避する。 仕組み CSP を記述することで、コンテンツの提供元や取得方法（HTTPS経由のみ取得可能など）を制限することができ、コンテンツ提供者が意図しないコンテンツを読み込ませることを阻止することができる。 コンテンツには実行可能なスクリプトも含まれているため、第三者による悪意のスクリプトの実行を制

◆対象者・使用する環境など ・対象 ・HoneyPotを仕掛けてみたい。 ・ある程度は、VPSサーバーやLinuxについての知識や興味がある。 ・初期費用として、とりあえず8000円〜1万円程度は出してもいい。 ・想定構築日数： 1週間程度（慣れれば数時間で十分に可能） ・環境 ・T-Pot（20.06） ・LightSailの$80の月額上限プラン : Linux debian 10(buster) ※本記事はMacOS(Big Sur 11.4)で行っています。 ◆概要 ハニーポットはクラッカーの侵入手法やマルウェアの振る舞いを分析するために、わざと侵入されやすいように設定されたサーバです。外からは単なる脆弱なサーバに見えますが、攻撃者の行動を記録したり、マルウェアを保存することができます。 自身でハニーポットを持つことで、最新のサイバー攻撃動向やマルウェアを知ることができます。 この

◆ Live配信スケジュール ◆ サイオステクノロジーでは、Microsoft MVPの武井による「わかりみの深いシリーズ」など、定期的なLive配信を行っています。 ⇒ 詳細スケジュールはこちらから ⇒ 見逃してしまった方はYoutubeチャンネルをご覧ください 【4/18開催】VSCode Dev Containersで楽々開発環境構築祭り〜Python/Reactなどなど〜 Visual Studio Codeの拡張機能であるDev Containersを使ってReactとかPythonとかSpring Bootとかの開発環境をラクチンで構築する方法を紹介するイベントです。 https://tech-lab.connpass.com/event/311864/ はじめに始めまして。サイオステクノロジーのNです。 皆さんはハニーポットについてご存知でしょうか？ Wikipediaには以

サイバー攻撃の驚異的な進化に対し、防御する企業や組織は後手に回っていると言わざるを得ません。従来のサイバー攻撃対策は、それを迂回する攻撃手法が台頭すると無力に等しくなるという致命的な弱点を抱えており、防御側は新しい攻撃手法に一つずつ対処していくほかないのが実情です。 このような状況を打破すべく、「アクティブディフェンス」という理念が企業に求められつつあります。これは、サイバー攻撃の都度対策を講じる受動的な取り組みではなく、能動的に攻撃者にアプローチする考えを言います。今回は、この手法の一つである、攻撃者を罠にかけて捕捉する「サイバーデセプション」について紹介します。 サイバーデセプションとは サイバーデセプション（以下、デセプション）は直訳すると「欺くこと」を意味し、その言葉通り、ネットワーク内に配置した罠（偽の情報など）を用いて攻撃者を欺き、攻撃を遅延・阻止する手法を指します。「デコイ」

はじめにビットコインやイーサリアムのトランザクション署名に用いられるECDSA（Elliptic Curve Digital Signature Algorithm：楕円曲線デジタル署名アルゴリズム）は、トランザクション作成者や取引の正当性を証明する役割を持っています。送金に用いられる技術ですが、”公開鍵（に紐づくアカウント）を持っている証明"が可能であることを応用して、Webアプリのユーザ認証が可能です。 本記事では、web3モジュールのweb3.eth.personal.sign メソッドによるECDSA署名と、eth-sig-utilモジュールのecrecoverメソッドによる検証を用いたWebアプリのユーザ認証の実装例をReact(Firebase hosting) + Express(Vercel Now) + MongoDB(Atlas)のサーバレス構成によるデモサイトとともに

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 1. はじめに 昨今、AI・機械学習関連技術が基礎研究のフェーズを抜け、製品開発のフェーズにて本番稼働システムに投入・運用されることが多くなるに連れて聞くことが多くなった「MLOps」という概念について、簡単に書きます。 本記事ではMLOpsの概要を記載し、実践的な取り組みについては別途記載します。 （追記）アップデート版として MLOpsの意義：機械学習プロジェクトを成功させるための鍵 を投稿したので、そちらも合わせてご確認ください。 2. 機械学習プロジェクトの課題 機械学習プロジェクトを遂行していくことを阻害する課題として、例えば