みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。（正規の仕様を悪用） Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファ

Cyber-sec+のコミュニティリーダをやっている12banです。 昨日はこちらのイベントに参加しました。 参加の目的 セキュリティの世界に入って数年。ハードニングの存在は知っていましたが、敷居の高さからハードニングに参加したことはありませんでした。 そんな中で友人（同じくCyber-sec+運営であるhayapiさん）が主催するイベントということ、そしてハードニングへの興味から参加しました。 得られたもの 役割分担、コミュニケーションや戦略の大切さ すぐに手が動くレベルでのシステム構成の理解の大切さ SOC（ログの監視、分析）の大切さ 実際の現場ではセキュリティ担当者はインシデントコマンダー（インシデントを解決に導く指揮官）か、SOC（ログの監視、分析）のどちらかの役割になることが多いのではないかと思います。その意味では2は実際には開発（アプリ、インフラ）にお任せして、その関係性づくり

脅威モデリングオープンコミュニティさんが、12/7(土)から「脅威モデリングコネクト東京 / Threat Modeling Connect Tokyo Chapter (略称:TMC Tokyo)」となり、グローバルコミュニティとして活動するということで、そのローンチイベントに遊びに勉強しに行きましたよ(´・ω・｀) 脅威モデリングコネクト東京とは何か 脅威モデリングオープンコミュニティとして脅威モデリングに関する知見を共有するコミュニティが今年何度か勉強会を開催していて不詳私めも何度か参加させていただいていたのですが、この度正式に12/7(土)にグローバルな脅威モデリングのコミュニティThreat Modeling ConnectのTokyo Chapterとなってグローバルコミュニティとして活動することになりました。アジアではまだやっているところがまだないとのことで、アジアでは東京が

近年、アジャイル開発手法の採用が急速に増加しています。その背景には、エンドユーザの要求が不確実で多様化していること、そしてその変化に迅速に対応する必要性が高まっていることが挙げられます。このような状況下で、開発スピードを維持しつつもセキュリティを確保するための手法として、DevSecOpsが注目されています。 DevSecOpsは、開発（Development）、運用（Operations）、そしてセキュリティ（Security）を統合したアプローチであり、セキュリティをソフトウェア開発ライフサイクルの全体にわたって組み込むことを目指しています。これを実現するためには、開発の各フェーズでセキュリティ対策を講じるだけでなく、全体を見渡し、統合的にセキュリティを管理することが不可欠です。 本ブログでは、DevSecOpsのサイクルにおいて抑えるべきポイントについて解説し、同時に、”Sec”をリ

キーワードで探す カテゴリで探す 業界トレンド／展望 技術トレンド／展望 事例 サービスで探す コンサルティング CRM（Salesforce） ERP（SAP/Biz∫） 顧客接点・決済 カーボンニュートラル SCM・ロジスティクス 電子申請 データ＆インテリジェンス 生成AI アプリケーション開発・管理 データスペース ブロックチェーン 量子コンピュータ・イジングマシン デジタルツイン IoT ロボティクス・RPA クラウド ネットワーク データセンター サイバーセキュリティ アウトソーシング 業種で探す 金融 官公庁・自治体 医療・ヘルスケア 防災・レジリエンス 食品 流通・小売 モビリティ 製薬・ライフサイエンス 食農・農業 製造 通信・放送 電力・ガス・水道 建設・不動産 個人のお客様向け 教育 トピックで探す Foresight Day サステナビリティ キーワードで探す カテ

ISOG-J（日本セキュリティオペレーション事業者協議会）より、当社セキュリティ＆テクノロジーコンサルティング事業本部の河島 君知、藤原 稔也が作成協力している「セキュリティ対応組織の教科書 第3.2版」が公開されました。 「セキュリティ対応組織の教科書」は、日本のセキュリティオペレーション事業従事者たちがまとめた組織構築・運用ノウハウと国際勧告ITU-T X.1060を統合し、グローバルにも適用できるセキュリティ体制構築・運用・評価のフレームワークを提供しています。 今回公開される第3.2版では、64のサービスの着手事例が新たに紹介されています。これらの事例は、実際の運用に基づいた具体的なアプローチを示しており、セキュリティ対応組織が参考にできる貴重な情報が提供されています。また、セキュリティ対応組織の教科書 第2.1版からセルフアセスメントシートが刷新され、より実践的で具体的な評価が可

アプリケーション・コードの脆弱性診断は、開発者やセキュリティ担当者にとって少なからず手間とともに知識も要する厄介な業務である。この厄介な業務を、生成AIを活用して効率化するAIが「AIセキュリティ・コーディング・アシスタント（ASCA）」/「コード・セキュリティ・アシスタント」だ。そもそも脆弱性診断で生成AIは本当に有効なのか。また、どうすれば生成AIを脆弱性診断で効果的に活用できるのか。Gartner バイス プレジデント,アナリストのマーク・ホーヴァス氏が解説した。

プロダクトのセキュリティ強化に向けて、どこから手を付けるべきか、またツール選定や活用方法について悩んでいる企業は少なくありません。本イベントでは、セキュリティ監視（セキュリティオブザーバビリティ）の重要性に焦点を当て、効果的な取り組み方を明らかにします。 セキュリティ監視の基本から、SaaSプロダクトを利用した場合のメリット・デメリット、そして自前で運用する際の工数や効果について、具体的な事例を通じて深く掘り下げます。実際に各社がどのような工夫をしているのかを知り、プロダクトセキュリティをさらに強化するための実践的な知識が得られるイベントです。

もう3ヶ月も前になりますが、Offensive Security 社のペネトレーションテストの認定試験である OSCPを受験して合格しました。 OSCPに合格したら受験記を書くことが通例のよう *1 なので、私が試験合格までにどのように Try Harder したかを書いていきたいと思います。 OSCP とは OSCPは、Offensive Securiry Certified Professional の略で、みんな大好き Kali Linux の開発元である米国の Offensive Security 社が行っているペネトレーションテストの認定試験です。米国のセキュリティの資格試験と言うと、ISC2 の CISSP や SANSのGIAC, CompTIA あたりが日本では有名で Offensive Security 社の資格はまだまだマイナーだと思いますが、近年取得している日本の方が

2/25（日） 09:00 - 21:00 に開催された防衛省サイバーコンテストに出てきたので、自分が解いた問題のWriteupを残しておきます。問題数も多いので簡単に。 結果は370pts獲得で、21位でした。 Crypto Information of Certificate (10pts) 証明書ファイルのCNを答える問題。Windowsの証明書ビューアーで中身を確認する。 Missing IV (10pts) AES-CBC 128bitsで暗号化されたファイルと暗号鍵が渡される。IVがわからない。 AES CBCは鍵があったとしても、IVがないと最初のブロックが復号できないが、2番目のブロックからは復号できるので、最初のブロック（128bit = 16bytes）以外は復号できる。 復号すると最初の16bytesがないZIPファイルが出てくるので、ZIPのファイルヘッダを調べて適

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

目次の表示 1. 情報セキュリティ環境 1-1. 職業倫理の理解、遵守、推進 職業倫理 (ISC)2 倫理規約 組織の倫理規約 エンロン事件とSOX法の策定 SOC (System and Organization Controls) レポート 1-2. セキュリティ概念の理解と適用 機密性、完全性、可用性 真正性、否認防止、プライバシー、安全性 デューケアとデューデリジェンス 1-3. セキュリティガバナンス原則の評価と適用 セキュリティ機能のビジネス戦略、目標、使命、目的との連携 組織のガバナンスプロセス 組織の役割と責任 1-4. 法的環境 法的環境 契約上の要件、法的要素、業界標準および規制要件 プライバシー保護 プライバシーシールド 忘れられる権利 データポータビリティ データのローカリゼーション 国と地域の例 米国の法律 [追加] サイバー犯罪とデータ侵害 知的財産保護 輸入と

背景 サイバーインシデント発生時にセキュリティ担当者はその被害の封じ込め、復旧対応のために現場から経営層までさまざまな部署の担当者と円滑に連携して対応していく必要があります。このように組織一体となってサイバーインシデントに対応し、状況を回復していく力を「サイバーレジリエンス」といいますが、このサイバーレジリエンスを実現していくためには多くの企業が以下のような課題を抱えていると考えています。 1.同じ企業の中の部署であっても、それぞれの部署がもつ専門性や文化の違いからサイバーインシデント対応において必要な連携の 中でコミュニケーションエラーが発生しやすい可能性がある。 2.サイバーインシデントを体験したことがある担当者が限定的であるため、対応のために必要なコミュニケーションスキルに個人差 がある可能性がある。 そこで本プロジェクトでは、事業会社において、サイバーインシデント対応時の他部署との

2024年6月9日、KADOKAWAやニコニコ動画などを運営するドワンゴは、同グループの複数のWebサイトが6月8日未明より利用できない事象が発生と公表しました。システム障害の原因はランサムウエアによるもので、ニコニコ動画は復旧まで約2か月を要しました。またリークサイトから盗まれたとみられる情報を取得してSNSへ公開するなど悪質な情報拡散が確認されました。ここでは関連する情報をまとめます。 １．KADOKAWAグループのデータセンターでランサムウエア被害 公式及び報道より、データ暗号化の被害にあったのはKADOKAWAグループ企業 KADOKAWA Connectedのデータセンター（DC6）で運用されていたプライベートクラウドやそのクラウド上で稼働していたドワンゴ専用サーバー。またドワンゴの認証基盤であったActive Direcotryサーバーも攻撃者の制御下に置かれた。 侵害活動の拡

地方自治体が管理する重要インフラや個人情報を狙ったサイバー攻撃が相次いでいる。国レベルや大企業では徐々に対策が進むものの、予算や人材が乏しい地方では後回しになりがちだ。地方の対応が遅れれば重要情報の流出など経済安全保障上のリスクにもつながりかねず、国全体での能力の底上げが欠かせない。「個人情報を含むデータ流出の恐れがある」。情報処理サービスなどを手掛けるイセトー（京都市）から徳島県に連絡があっ

A new tool that blends your everyday work apps into one. It's the all-in-one workspace for you and your team