みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。 Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファイルを発見しました。

Cyber-sec+のコミュニティリーダをやっている12banです。 昨日はこちらのイベントに参加しました。 参加の目的 セキュリティの世界に入って数年。ハードニングの存在は知っていましたが、敷居の高さからハードニングに参加したことはありませんでした。 そんな中で友人（同じくCyber-sec+運営であるhayapiさん）が主催するイベントということ、そしてハードニングへの興味から参加しました。 得られたもの 役割分担、コミュニケーションや戦略の大切さ すぐに手が動くレベルでのシステム構成の理解の大切さ SOC（ログの監視、分析）の大切さ 実際の現場ではセキュリティ担当者はインシデントコマンダー（インシデントを解決に導く指揮官）か、SOC（ログの監視、分析）のどちらかの役割になることが多いのではないかと思います。その意味では2は実際には開発（アプリ、インフラ）にお任せして、その関係性づくり

脅威モデリングオープンコミュニティさんが、12/7(土)から「脅威モデリングコネクト東京 / Threat Modeling Connect Tokyo Chapter (略称:TMC Tokyo)」となり、グローバルコミュニティとして活動するということで、そのローンチイベントに遊びに勉強しに行きましたよ(´・ω・｀) 脅威モデリングコネクト東京とは何か 脅威モデリングオープンコミュニティとして脅威モデリングに関する知見を共有するコミュニティが今年何度か勉強会を開催していて不詳私めも何度か参加させていただいていたのですが、この度正式に12/7(土)にグローバルな脅威モデリングのコミュニティThreat Modeling ConnectのTokyo Chapterとなってグローバルコミュニティとして活動することになりました。アジアではまだやっているところがまだないとのことで、アジアでは東京が

2014年から先端テクノロジーの研究を論文単位で記事にして紹介しているWebメディアのSeamless（シームレス）を運営し、執筆しています。 1週間の気になる生成AI技術・研究をいくつかピックアップして解説する連載「生成AIウィークリー」から、特に興味深いAI技術や研究にスポットライトを当てる生成AIクローズアップ。 今回は、大規模言語モデル（LLM）の数十億のパラメータの中でたった1つのパラメータを削除するだけで、モデルのテキスト生成能力が完全に崩壊することを発見した論文「The Super Weight in Large Language Models」に注目します。 研究チームは、このパラメータを「スーパーウェイト」と名付けました。70億のパラメータを持つMetaのLlama-7Bモデルでは、このスーパーウェイトをゼロにするだけで、モデルのテキスト生成能力が完全に失われ、ゼロショッ

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

近年、アジャイル開発手法の採用が急速に増加しています。その背景には、エンドユーザの要求が不確実で多様化していること、そしてその変化に迅速に対応する必要性が高まっていることが挙げられます。このような状況下で、開発スピードを維持しつつもセキュリティを確保するための手法として、DevSecOpsが注目されています。 DevSecOpsは、開発（Development）、運用（Operations）、そしてセキュリティ（Security）を統合したアプローチであり、セキュリティをソフトウェア開発ライフサイクルの全体にわたって組み込むことを目指しています。これを実現するためには、開発の各フェーズでセキュリティ対策を講じるだけでなく、全体を見渡し、統合的にセキュリティを管理することが不可欠です。 本ブログでは、DevSecOpsのサイクルにおいて抑えるべきポイントについて解説し、同時に、”Sec”をリ

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 目次 1.はじめに 2.教材紹介 3.スケジュール 4.おわりに はじめに これから情報処理安全確保支援士を受験しようという方の一助となるよう、私が実施した勉強方法を紹介します。 結論を言うと、以下の記事で紹介されている方法を基本に進めて合格しました。 リンク先の記事は2年近く経過していますが、方法論としては全く廃れていないです。 スペック 業界5年目で今は情シスに身をやつしています。元々はバリバリの開発畑でしたが、キャッチアップのために情報処理試験はなるべく受けるようにしています。開発時代にサーバーを触ることがあったのと、ネットワーク

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

キーワードで探す カテゴリで探す 業界トレンド／展望 技術トレンド／展望 事例 サービスで探す コンサルティング CRM（Salesforce） ERP（SAP/Biz∫） 顧客接点・決済 カーボンニュートラル SCM・ロジスティクス 電子申請 データ＆インテリジェンス 生成AI アプリケーション開発・管理 データスペース ブロックチェーン 量子コンピュータ・イジングマシン デジタルツイン IoT ロボティクス・RPA クラウド ネットワーク データセンター サイバーセキュリティ アウトソーシング 業種で探す 金融 官公庁・自治体 医療・ヘルスケア 防災・レジリエンス 食品 流通・小売 モビリティ 製薬・ライフサイエンス 食農・農業 製造 通信・放送 電力・ガス・水道 建設・不動産 個人のお客様向け 教育 トピックで探す Foresight Day サステナビリティ キーワードで探す カテ

◆将来の無線通信への応用が期待される300GHz帯において、高速トランジスタであるInP-HEMT*1と独自の高周波アナログ回路設計技術を用いた小型無線フロントエンド*2（FE）を実現 ◆300GHz帯の半導体電子回路を用いたFEにおいて世界最高となる160Gbpsのデータ伝送に成功 ◆第6世代移動通信システム（6G）で提唱されているさまざまなユースケースを支える超高速無線通信への応用に期待 日本電信電話株式会社（本社：東京都千代田区、代表取締役社長：島田　明、以下「NTT」）は、将来の超高速無線通信への応用が期待される300GHz帯において、無線通信を行うためのハードウェアである小型無線フロントエンドを実現しました。フロントエンド（FE）の小型化と広帯域化（データレート向上）のために、FEを構成する要素回路のワンチップ集積化に挑戦し、課題となる局部発振（LO）信号漏洩（LOリーク*3）を

米田あゆさんと諏訪理さん。 2023年、宇宙飛行士の候補者に選ばれた2人。 日本人として初めて月へ行く可能性がある。 その2人が1年半に及ぶ厳しい基礎訓練を経て、宇宙飛行士として「正式認定」された。 なかでも特に過酷だったのが、自衛隊の協力のもとで行われたJAXAの「サバイバル訓練」だ。 訓練を通じて見えてきた、それぞれの課題とは。 （科学・文化部記者 加川直央）

ISOG-J（日本セキュリティオペレーション事業者協議会）より、当社セキュリティ＆テクノロジーコンサルティング事業本部の河島 君知、藤原 稔也が作成協力している「セキュリティ対応組織の教科書 第3.2版」が公開されました。 「セキュリティ対応組織の教科書」は、日本のセキュリティオペレーション事業従事者たちがまとめた組織構築・運用ノウハウと国際勧告ITU-T X.1060を統合し、グローバルにも適用できるセキュリティ体制構築・運用・評価のフレームワークを提供しています。 今回公開される第3.2版では、64のサービスの着手事例が新たに紹介されています。これらの事例は、実際の運用に基づいた具体的なアプローチを示しており、セキュリティ対応組織が参考にできる貴重な情報が提供されています。また、セキュリティ対応組織の教科書 第2.1版からセルフアセスメントシートが刷新され、より実践的で具体的な評価が可

来週で40歳にあるので30代の振り返りとしてこれを書く。 そんな30代を全力で走ってきた中で、これは30代でやってよかったな。 もっと早くやってもよかったな。というようなことを書く。 最初に行っとくと一般的にやったほうが良いということは基本的にやったほうがいい。 そういうのも含めて実際にやってみた経験も書く。 習慣を作れるようになる これは本当にやったほうがいい。 身につけるのであれば、早ければ早いほどほどいい。 もう少し具体的に話すと自分がやりたいことを実現していくためには習慣にできるとよい。 なんでも習慣にできると強くて、自分はどうやったら習慣になるんだろう？ってところを理解して上手くハックして習慣化していけると自分のやりたいことがどんどん実現できるようになる。 運動習慣 これも早ければ早いほど良いと思うが、朝か夜の散歩くらいからでもよいからやったほういい。 コロナ禍をきっかけに自分は

NDAの落とし穴について弁護士が事例を交えて説明しています。 要チェック９条文を題材に、NDAドラフト・レビュー時のリスクヘッジ方法を解説しています。 自分でNDAをレビューしたい方必見の「すぐに使える参考条文例」付き。 初めてNDAレビューをする方でも修正イメージを持ちやすい内容になっています。 ビジネスの現場で１番利用されていると言っても過言ではないNDA。でも、意外とその内容についてしっかり理解しているビジネスパーソンは少ないのではないでしょうか。 この記事では、NDAの必要性～注目すべき重要条文９つを題材に、自分でNDAレビューを行う際のポイントを解説していきます。 NDAってなんで必要なの？ NDAの役割とは？ NDA（「秘密保持契約」の他、「機密保持契約」とも言われます。）はなぜ必要なのでしょうか？NDAとは、取引を行う際や、取引を行うかどうか検討する際に、相手方に渡す重要な情

公開日：2024年9月25日 最終更新日：2024年10月1日 AIセーフティ・インスティテュート 独立行政法人情報処理推進機構 AIセーフティ・インスティテュート（AISI、所長：村上明子）は、AIセーフティ評価手法の一つであるレッドチーミング手法を解説する「AIセーフティに関するレッドチーミング手法ガイド」を公開しました。AIシステムの開発・提供管理者が本書を参照することで、AIシステムにおける弱点や対策の不備を攻撃者の視点から評価するためのレッドチーミング手法の基本的な考慮事項を理解することができ、それらの堅牢化につなげることができます。 AIセーフティに関するレッドチーミング手法ガイド（第1.00版）本編(PDF:3.1 MB) AIセーフティに関するレッドチーミング手法ガイド（第1.00版）概要説明資料(PDF:1.1 MB) AIシステムの開発・提供・利用が進み、イノベーション

アプリケーション・コードの脆弱性診断は、開発者やセキュリティ担当者にとって少なからず手間とともに知識も要する厄介な業務である。この厄介な業務を、生成AIを活用して効率化するAIが「AIセキュリティ・コーディング・アシスタント（ASCA）」/「コード・セキュリティ・アシスタント」だ。そもそも脆弱性診断で生成AIは本当に有効なのか。また、どうすれば生成AIを脆弱性診断で効果的に活用できるのか。Gartner バイス プレジデント,アナリストのマーク・ホーヴァス氏が解説した。

福田（@JunyaFff）です。本連載Python Monthly Topicsで2024年3月に公開したRust製のPythonパッケージ管理ツール「uv」を使ってみよう で紹介した「uv」が、さらなる進化を遂げました。今回は、その新機能を紹介します。 はじめに Astral社が開発するRust製の高速なpipの代替ツール「uv」がパッケージマネージャーとして8月にアップデートされました。pipの代替ツールとしてだけでなく、Pythonプロジェクト、コマンドラインツール、単一ファイルスクリプトさらにPython自体を管理できるようになりました。uvは、pipやpipx、venv、poetryやpyenvのような機能を包括していると言え、そしてそのすべてが非常に高速に動作します。 本記事では、アップデートした「uv」の新機能を中心に紹介します。 基本的な使い方は Rust製のPythonパ