RubyGemsの運営元が「Ruby Shield」を発表。RubyとRailsへのサプライチェーン攻撃への対策としてShopifyが4年で100万ドル（約1億3000万円）を提供 Ruby言語用のパッケージであるGemのホスティングサービス「RubyGems.org」を運営するRuby Centralは、RubyやRailsに対するサプライチェーン攻撃への対応を行うプロジェクト「Ruby Shield」を開始すると発表しました。 Today we’re excited to announce Ruby Shield This new initiative in partnership with @ShopifyEng will support open-source and enable us to take on new security-focused projects to bet

9月 2024 (4) 8月 2024 (26) 7月 2024 (24) 6月 2024 (27) 5月 2024 (26) 4月 2024 (24) 3月 2024 (24) 2月 2024 (25) 1月 2024 (23) 12月 2023 (28) 11月 2023 (24) 10月 2023 (25) 9月 2023 (26) 8月 2023 (25) 7月 2023 (27) 6月 2023 (28) 5月 2023 (28) 4月 2023 (26) 3月 2023 (29) 2月 2023 (22) 1月 2023 (24) 12月 2022 (26) 11月 2022 (21) 10月 2022 (22) 9月 2022 (21) 8月 2022 (20) 7月 2022 (23) 6月 2022 (23) 5月 2022 (23) 4月 2022 (26) 3月 20

「『この訓練をされたら嫌だな、やられたくないな』と思っていたものが来た」──クラウド会計ソフトを提供するfreeeの佐々木大輔CEOは、同社が2021年10月に実施したクラウド障害訓練をこう振り返る。訓練では、社内チームがわざとAWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求。経営層を含め、全社で解決に向け対応した。 結局は数時間で解決できたものの、いくつか反省点もあったと佐々木CEO。全社を巻き込む訓練を通じ、freeeの経営層はどんな教訓を得られたのか。 特集：DXでリスク増大　経営層が知っておきたい情報セキュリティの課題と対策 デジタル庁の創設や印鑑・FAXの見直しなど、官民でDXが進んでいる。一方、DXによる利便性の拡大は常に情報セキュリティのリスクを伴う。そこでポイントになるのが、経営層や管理職によるセキュリティへの理解と

オープンソースの安全性を高める「アルファ-オメガプロジェクト」、OpenSSFが開始。マイクロソフトとGoogleがプロジェクトリーダーに Linux Foundation傘下のOpen Security Software Foundation（OpenSSF）は、オープンソースソフトウェアのサプライチェーン問題を改善し安全性を高めるための大規模なプロジェクト「Alpha-Omega Project」（アルファ-オメガプロジェクト）の開始を発表しました。 マイクロソフトとGoogleはこのプロジェクトのために共同で500万ドル（1ドル115円換算で5億7500万円）を拠出し、専門家を派遣してプロジェクトをリードするなど、積極的な役割を果たしています。 In The News: OpenSSF Announces The Alpha-Omega Project to Improve Soft

Can Macs get viruses? Do you need antivirus software on your Mac? These questions have plagued Mac users for years. Unfortunately, the answer isn't as simple as you think it is. But we've broken it all down for you below. Do Macs Get Viruses? Macs have been historically considered very safe and secure systems, and the general belief is that Macs are invulnerable to viruses and malware. Unfortunate

初めに サイボウズ・ラボの光成です。 いきなりですがクイズです。次のうち正しい説明はどれでしょう。 SSHやFIDO2などの公開鍵認証はチャレンジを秘密鍵で暗号化し、公開鍵で復号して認証する。 ビットコインでは相手の公開鍵を用いてハッシュ値を暗号化して相手に送る。 TLS1.3ではサーバ公開鍵を用いてAESの秘密鍵を暗号化する。 答えはどれも間違いです。 公開鍵認証は、(デジタル)署名を使って相手先の正しさを検証するものであり、暗号化は行われません。 同様にビットコインもデータや相手の正当性を確認するために署名が用いられ、暗号化は行われません。 TLS 1.3ではRSA暗号の公開鍵を用いて暗号化する方式(static RSA)は廃止され、ECDH鍵共有された値を元に秘密鍵を生成し、AES-GCMなどの認証つき暗号で暗号化します。 公開鍵暗号とは いわゆる公開鍵暗号には大きく2種類の意味があ

新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増しています。去年に引き続き、今年も絶対外したくない海外サイトからご紹介します。 サイト キタきつね寸評 1位 morningstar SECURITY 不動の1位です。ジャンルの広さ、情報の更新頻度、関連ソースの網羅性など、英語系のセキュリティニュースとしては群を抜いた、最良のまとめサイトです。 私は「Daily Security News（最も人気のあるセキュリティニュース）」（一番上）と「Security Blogs（セキュリティブログ）」（下から3つ目）を主にチェックしていますが、人によって興味が違うかと思いますので、「Malware/APT」「Exp

こんにちは、いちび( @itiB_S144 )です。 2021年12月25日にWindowsイベントログ解析ツールとして「Hayabusa」がリリースされました🎉 Hayabusaは事前に作成したルールに則ってWindowsイベントログを調査し、インシデントや何かしらのイベントが発生していないか高速に検知することができるツールです。 私も開発を微力ながらお手伝いさせていただきました。 本記事では多くの方にHayabusaを触っていただきたいため、簡単な使い方を紹介していきます。 We just released two Windows event log analysis tools: Hayabusa and WELA: https://t.co/nFHxSgUl2q #yamasec— Yamato Security Tools (@SecurityYamato) 2021年12月2

「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー

ドメインを取得後にそれを使ったメールアドレスで送信できるようになったが、受信先でそのメールが迷惑フォルダへ分類されることがある。 会社では Google Domain でドメインを取得後、Google Workspace を利用してメールを送信できるようになった。DNS の管理は Cloud DNS を利用していて、その設定は Terraform を用いて管理している。 当初の設定はシンプルなものであった。 DNS ゾーンを設定 設定したゾーンに対して MX レコードを設定 resource "google_dns_managed_zone" "example_com_domain" { name = "example-com" dns_name = "example.com." } # https://support.google.com/a/answer/9222085 resourc

2019年に実施したサイバー攻撃対応訓練の様子 通信事業だけでなく、さまざまな事業を手がけるソフトバンク。顧客情報をはじめとした膨大な量の情報を守り、お客さまに安心してサービスを利用していただくために、情報セキュリティは非常に重要です。ソフトバンクがどのようにサイバー攻撃に備えてているのか、担当社員へのインタビューを通してお伝えしていきます。 第2回目は、インシデント発生時に最前線で指揮を執る現場責任者にインタビュー。ソフトバンクではどのような体制でサイバー攻撃や情報漏洩などのリスクに備え、問題が発生したときはどう対応しているのか。日頃の業務内容やサイバー攻撃に備えた訓練の裏側などを聞きました。 技術管理本部 ISC統括部 セキュリティマネジメント部 サイバーインシデントレスポンス課 課長 松本 勝之（まつもと・かつゆき） 総勢200名が1つのチームになり、総力戦でサイバー攻撃を防ぐ まず

■概要 本記事はシンガポールの関連会社に勤めるH先輩から、業者が納品したUSBメモリを挿入したらマルウェアが検知されたとの連絡を受け、解析をした記録となります。 先輩Hは子供の卒業式の動画を集めて、記念動画入りUSBメモリの作成をとある業者に発注しました。納品されたUSBメモリをパソコンに挿入するとアンチウィルスソフトにより、以下のポップアップが立ち上がったそうで、調査依頼を受けました。 駆除されていない納品したての別のUSBメモリを貸してもらい、中身を調査することにしました。USBドライブを開いてみると以下のようになっていました。 動画ファイル以外にもいくつかのファイルが見えます。 ショートカットファイルの解析 まずはショートカットファイルを調べます。 ショートカットとマルウェア本体 ファイル名 ショートカットのターゲット Microsoft.lnk wscript.exe //e:VB

Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな

christine.websiteのブログより。 または: お金を払わない限り、有用なソフトウェアを書かないのか? 最近、重要なJavaエコシステム・パッケージに大きな脆弱性が見つかりました。この脆弱性が完全に兵器化されると、攻撃者はLDAPサーバから取得した任意のコードを実行するよう、Javaサーバを強制することができます。 <マラ> もしこれがニュースで、あなたがJavaショップで働いているなら、残念ですが、あなたには2、3日が待っています。 私は、これが「オープンソース」ソフトウェアの主要なエコシステム問題の全ての完璧な縮図だと考えています。log4j2が、この問題の最悪のシナリオの1つの完璧な例であると思うので、このすべてについていくつか考えを持っています。この問題に関与したすべての人が、現実世界の問題に対する完全に妥当な解決策のためにこれらすべてを行ったことは完全に合理的であり、

いまや企業規模や業種業態を問わず、いかにビジネスにITを活用するかは、事業の成功のみならず、企業の成長をも左右する重要なファクターのひとつとなっています。と、同時にサイバー攻撃などによるセキュリティリスクの増大もまた、企業にとっては大きな課題としてクローズアップされるようになりました。 国内セキュリティ業界で影響力のある有識者として徳丸 浩氏（EGセキュアソリューションズ株式会社 代表取締役）を招きお届けする当企画。前篇となる今回は、コロナ禍の「巣ごもり需要」でも注目されるECサイト——その運営に潜むリスクを取り上げます。 ※当記事は2021年5月、徳丸氏へ行った取材をもとに、Tech＋（ライター：小池 晃臣）が執筆・編集した内容を掲載しています。 セキュリティ侵害による金銭的被害の2つのパターン キャッシュレス決済サービスの普及や、コロナ禍の「巣ごもり需要」を受け、買い物のスタイルが現金

この記事は、ex-handslab Advent Calendar 2018 1日目の記事です。 adventar.org 最近会社で結城先生の暗号技術入門の最新版を輪読して、自分はSHA-3の所を重点的に読んだのでそのあたりの話をします。 SHA-3 is 何 一方向ハッシュ関数のアルゴリズムのひとつの呼称 2012年に Keccak が採択された https://keccak.team/keccak_specs_summary.html SHA-1, SHA-2 と完全に異なる構造をもったアルゴリズムのため、既存の構造に起因する脆弱性の影響を潜在顕在しているもの問わず受けない 実行環境を問わず、いずれの環境でも高速に動作する 細かい仕様は内部実装などは上記公式仕様や結城先生の書籍を読んで頂ければわかるので省略しますが、個人的な印象としては SHA-1 よりシンプルな記述で理解しやすい印