らら子です。 都内のスタートアップでWEBサービスの開発をやってます。 今回は、「Qiitaエンジニアフェスタ Trend Micro Cloud One を使ってAWS環境をよりセキュアにする方法について投稿しよう！」の企画に参加するために、CloudOneについて触ってみることにしました。 私の開発しているサービスは、AWSのEC2インスタンスにデプロイされていて、ALBとAutoScaringを使っています。 （ EC2インスタンスはAmazonLinuxで、現在のところトレンドマイクロのセキュリティソフトは入れてません(´;ω;｀) ） サービスで採用しているわけではないのですが、セキュリティについて興味があるので実際にインストールしてみて使ってみた感想などを記事にしてみようと思います。 CloudOneのアカウントを登録する さっそくCloudOneのアカウントを登録しようと思っ

概要 AWSでTrend Micro Cloud One – Workload Security(旧Trend Micro Deep Security as a Service)を初めて使ったので、その設定手順を残したいと思います 日本代理店経由でライセンス購入するとそこそこなお値段になりますので、AWS Marketplace経由で導入します **※管理コンソールなどは日本語対応されているが、~~サポートは英語（US）になります！ そして、何回かサポートに問い合わせましたが、レスポンス速度も良好でした。~~2019年12月頃？からサポートも日本語対応されました。**ただし、これからUSのAWS Marketplaceで新規契約した場合も日本語サポートになるかは不明ですので、ご注意ください。 用語(略称) 用語を以下の略称とする TrendMicro → TM TrendMicro Dee

pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。

昨日、上野宣（@sen_u）さんがパスワードの総当りに要する時間の表をツイートされ、話題になっています。 総当たり攻撃時のパスワード最大解読時間の表を日本語化した。https://t.co/cVSNUZkAKv pic.twitter.com/rtS8ixwOqi — Sen UENO (@sen_u) August 17, 2021 1万件を超えるリツイートがありますね。大変よく読まれているようです。しかし、この表は何を計測したものでしょうか。上野さんにうかがってもわからないようでした。 何ですかね？パスワード空間が大きくなると解読に時間が掛かるということくらいがわかりますかね。 — Sen UENO (@sen_u) August 17, 2021 一般に、パスワードの総当たり攻撃（ブルートフォースアタック）というと、以下の二通りが考えられます。 ウェブサイト等でパスワードを順番に試す

タイトルの通りです。条件付きでなることもあります。 CORSとは https://developer.mozilla.org/ja/docs/Web/HTTP/CORS Cross-Origin Resource Sharing 異なるオリジンでリソースを共有できるか、共有できないかを決める仕組み オリジン≒ドメインだと考えてよい（厳密には MDN あたりを参照） この「共有」とは「JavaScriptから見て」であることに注意 この記事ではこの話を書きます WebサーバーAは、Aの持つリソースをどのオリジンと共有するかをホワイトリスト形式で指定できる CORSが正しく機能する具体例 読み込まれるリソースの設定 ローカルネットワーク上に http://example.local/secret.php があり、GETすれば秘密の情報が取得できるとします。 また、このサーバーのレスポンスには必

2021/4/23 追記 Twitter にて指摘を頂いたので追記。 詳細は当該ツイートを読んで頂きたいが、プリフライトリクエストを CSRF 対策として用いるのは適切ではないという内容。 この記事に書いた仕組みや挙動そのものが間違っているわけではないのだが、プリフライトリクエストはそもそもセキュリティのための機能ではない。 そして、詳しくは記事の続きを読んでほしいが、プリフライトリクエストが発生するということは、HTTP メッセージのやり取りが 1 回増えるということなので、パフォーマンス上、望ましくない。 代替案がないならともかく、リクエストのオリジンをチェックすれば対応できるのだから、敢えてプリフライトリクエストを利用する必要はない。素朴に書けば以下のようになるだろうか。 const ALLOW_ORIGIN = `http://localhost:${constants.SPA_P

セキュリティ脆弱性診断などでたまに CSRF について指摘されることがあります。 今まではトークン発行して対応すれば良いんでしょ？ と思ってましたが、SPA のように非同期通信が前提の場合はどう対処するべきなんだろう、と疑問が出たりしたので、調べてみた結果をまとめてみました。 CSRFとは Cross Site Request Forgeries（クロスサイトリクエストフォージェリ）の略で、 サービス利用者の正規権限を利用して、意図しないタイミングでサービスの機能を実行させる攻撃手法のことを指します。 2005年に mixi 日記で発生した「ぼくはまちちゃん」で一躍有名になりました。 大量の「はまちちゃん」を生み出したCSRFの脆弱性とは？ - ITmedia エンタープライズ CSRF が発生する原因 サービスの機能を実行するプログラムへのリクエストの検証が権限情報のみであった場合に発生

古くて新しい「特権アクセス保護」（PAM）について技術的内容を分かりやすく解説する連載。最終回は、PAMを導入する際に考慮すべきことなどについて解説する。

はじめに 先日、海外向けに運用していた個人ブログがDDoS攻撃を受けてしまいました。 こういったサイバー攻撃は、企業に対して行われるものという先入観がありました。 しかし、調べてみると、最近では個人ブログも標的になってきていると報告があがっていました。 CloudFrontとS3で作成する静的サイトが人気になっており、特にCloudFrontの危険性について紹介したいと思います。 DDoS攻撃って？ ざっくり説明すると、ウェブサイトやサーバーに対して過剰なアクセスやデータを送付するサイバー攻撃です。 インフラストラクチャーレイヤー攻撃(レイヤー3、4)とアプリケーションレイヤー攻撃(レイヤー6、7)の２つに分類されます。 ご指摘を頂きましたので、訂正いたします。 厳密には、EDoS攻撃でした。 AWS Shield Standard AWSを利用した場合、defaultでAWS Shiel

こんにちは、Finatextの @s_tajima です。 弊社のこれまでのリモートアクセスの環境は、Pritunl というOpenVPNベースのソフトウェアで構築されていました。( 詳しくは、こちらの記事で以前紹介させていただいています。https://techblog.finatext.com/vpn-pritunl-on-aws-68619eda6b36 ) 今回は、このPritunlベースの従来のVPNを Cloudflare Zero Trustに置き換え、社内システムへのリモートアクセスをよりセキュアで便利にした話です。(“社内” という表現を使っていますが、”オフィスにある” という意味ではなく、”社内メンバー向けの” という意味です。) Cloudflare Zero Trust とはCloudflareと聞くと、CDNの会社というイメージが強いと思います。しかし昨今ではC

概要 JWTを認証用トークンに使う時に調べたことをまとめます。 JWTとは JWTはJWSやJWEの構造の中にエンコードして埋め込まれるJSON形式のclaimのセットです。 一般的にはJWS形式のJWTが使われるのでそれを前提に進めます。 JWS形式のJWTは以下のフォーマットです。 {base64エンコードしたheader}.{base64エンコードしたclaims}.{署名} 以下の特徴があります。 発行者が鍵を使ってJSONを署名（or HMAC）し、トークンとして扱う。 暗号化ではないので、JSON の中身は誰でも見られる。 発行者は鍵を使ってメッセージの検証ができるので、改竄を検知できる。 以上の点からトークンとして向いているため、認証トークンとして用いられるようになってきました。 Cookieとの認証フロー比較 ref: Cookies vs Tokens. Getting

概要 自宅サーバのセキュリティチェックをして見た。 脆弱性診断ツール nikto niktoは、Web アプリケーションセキュリティスキャナー。 $ sudo apt install nikto -y $ nikto -h localhost - Nikto v2.1.5 --------------------------------------------------------------------------- + Target IP: 127.0.0.1 + Target Hostname: localhost + Target Port: 80 + Start Time: 2019-08-23 22:26:00 (GMT9) ---------------------------------------------------------------------------

JWTとは 公式サイト JSON Web Tokenの略 電子署名により、改ざん検知できる。 認証用のトークンなどで用いられる。 構成 ヘッダ、ペイロード、署名の3つから成る。 それぞれは、Base64でエンコードされている それぞれは、 . (ドット) で結合されている。

Aaron KiliLast Updated: October 24, 2023 Read Time: 4 minsCategories Monitoring Tools, Security 14 Comments There are constant levels of high attacks and port scans on Linux servers all the time, while a properly configured firewall and regular security system updates add an extra layer to keep the system safe, but you should also frequently watch if anyone gets in. This will also help to ensure t

オープンソースCMSのWordPressを利用するときに一番気になるのが、セキュリティ対策についてではないでしょうか。 近年WordPressを狙ったハッキングが増えてきていますので、しっかりとセキュリティ対策を実施し、皆様のウェブサイトを守ってください。 2016年Q3のハッキング状況 「Hacked Website Report – 2016/Q3」の調査によると、2016年Q3にハッキングされたCMS8,000サイトのうち、WordPressが74%、Joomla!が17%、Magentoが6%でした。 （調査結果及び、画像引用：Hacked Website Report – 2016/Q3） 2017年のハッキング状況 「Hacked Website Report 2017」の調査によると、2017年に34,371件の感染したウェブサイトを調査した結果、WordPressが83%、

既に日本でも報道されているように、著名なCMSであるDrupalのバージョン7系にはSQLインジェクション脆弱性があります（通称 Drupageddon; CVE-2014-3704）。この脆弱性について調査した内容を報告します。 ログイン時のSQL文を調べてみる MySQLのクエリログを有効にして、Drupaのログイン時に呼び出されるSQL文を調べてみます。リクエストメッセージは以下となります（一部のヘッダを省略）。 POST /?q=node&destination=node HTTP/1.1 Host: xxxxxxx User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:32.0) Gecko/20100101 Firefox/32.0 Cookie: has_js=1; Drupal.toolbar.collapsed=0 Conn

愛するNHKさん、がんばって！　サイバー攻撃の解説番組に感じた疑問：萩原栄幸が斬る！ IT時事刻々（1/3 ページ） 今年はテレビや一般紙でもサイバー攻撃が取り上げられる機会が増えた。その中でNHKが「週刊 ニュース深読み」で取り上げた内容は、多くの視聴者にとまどいを与えてしまうものだった。セキュリティの専門家から見て“おかしい”と感じた点を指摘したい。 今年も残すところ、あと1カ月となった。一年の締めくくりの12月は情報セキュリティの専門家としてお伝えしたいことを取り上げていく。読者の参考になれば幸いである。 サイバー攻撃を取り上げるマスコミ 今年の情報セキュリティでの大きな出来事は、東日本大震災関連の事象を除けば、誰もが「サイバー攻撃」を思い浮かべるのではないだろうか。筆者のところには、NHKやテレビ朝日、読売新聞、朝日新聞、毎日新聞などの主要なメディアが数多く取材に来た。時には同じメ