MSセキュリティ担当者が紹介 マルチクラウド環境の保護を追求する Microsoft Defender for Cloud 本当のデータ活用できていますか？ データドリブンがあたりまえと言われる今あらためて考えたいデータ活用のありかた Kubernetes活用の最適解とは？ 今、注目のコンテナを活用した柔軟なIT基盤 運用、管理の課題を解決しメリットを最大化 DNSを守り、DNSで守る 高度・巧妙化し危険度を増すサイバーリスク いま考えるべきモダンセキュリティのあり方 50年の経験を持つアイネットが提供 ユーザー企業の使いやすさを第一に考えた ワンストップで使えるマネージドクラウド AWSとAzureを更に使いこなそう イマドキのマルチクラウドセキュリティを MS担当者が徹底解説 大事なのは”仕事の段取り” 幅広い業務を任されているからこそできる ひとり情シス流の業務改善術 いま求められる

絶対に公開してはいけないPHPプログラミング ネタ元：AjaxMail：Ajaxを活用したフリーPHPメールフォーム これはひどいのに誰もつっこみを入れていないので、ツッコミを入れておきます。 セキュリティーフィックスされたました。 AjaxMailを利用しているサイトはスパムメールの踏み台にされます。 送信プログラムであるsendmail.phpの 150行目でPOSTで受け取ったアドレスをそのまま変数に入れて、 $reto = $_POST['email']; 168行目で直接メール関数に利用している。 if($remail == 1) { mail($reto,$resbj,$rebody,$reheader); } ありえない。 mail関数の第一引数には送信先のメールアドレスを設定できるのですが、カンマ区切りで複数のメールアドレスが指定できます。 リターンメールの性質上、リファラ

これから入会するユーザーにとって、もっともイライラさせられるシステムの一つが、「ユーザー登録時のCAPTCHA文字入力」。 例えば、とあるSNSへの新規登録時には、以下のような読みにくい文字を確認文字として入力しなければいけません。(*1) 人間にとっては、「読みにくくて打ちにくい」とても困ったシステムです。 しかも、最近ではコンピュータの解析能力が進化して、機械的に読み取られ、スパム対策にもなっていないという話もあります。 CAPTCHAは、スパム対策のために「外国で作られたシステム」であるため、その対策方法も広範に知れ渡っています。 半角英数字しか使っていないシステムがほとんどのせいで、破るための理論が実装されるのも仕方ないことかもしれません。 でも、日本でしか使わないシステムなら、日本用のスパム対策をすることで簡単にスパムを防ぐことができます。 どうするかというと、それはとても簡単で

Webアプリケーションのぜい弱性がなかなかなくならない。メディアなどでも盛んに取り上げられているにもかかわらず，である。特に，セッション管理がからむアプリケーションのぜい弱性には，気付かないことが多い。具体的には「クロスサイト・リクエスト・フォージェリ」（CSRF），「セッション・フィクセーション」などである。これらはクロスサイト・スクリプティング，SQLインジェクションといった比較的メジャーなぜい弱性に比べて認知度が低く，対策も進んでいない。 原因の一つは，アプリケーションの開発者が原因を正しく理解していないこと。CSRFやセッション・フィクセーションについて言えば，セッション管理に使うクッキー（cookie）の動作を理解していないと対策が難しい。ところが最近の開発環境では，セッション管理の仕組みが隠ぺいされているため，必ずしもこの知識は要求されない。こうした開発者は容易にはぜい弱性に気

ログインが必要なサイトの多くは、IDとパスワードを入力するフォームが設置されています。 通常、このようなフォーム内のパスワード部分に入力した文字は盗み見防止のため、「********」のようなアスタリスクになって文字が隠されるようになっていますが、しばしば、この入力したパスワードを確認したい状況になる場合も少なくありません。 このようなケースに役立つハックの紹介。 以下のJavaScriptをアドレスバーに入力すると、次のようなダイアログ内にパスワードが表示されます。 javascript:(function(){var s,F,j,f,i; s = ""; F = document.forms; for(j=0; j<F.length; ++j) { f = F[j]; for (i=0; i<f.length; ++i) { if (f[i].type.toLowerCase() ==

まず、日本のサイトにある一般的な登録フォームの画面遷移は 入力画面→入力確認画面→完了画面 となっている場合が多いようです。ここでリロード問題となるのは完了画面でのDBへのINSERT処理やCSV書き出し処理、メール送信処理など「一度しか行わない処理」です。例えば完了画面へ遷移した際にブラウザのリロードボタンが押された場合、確認画面よりsubmitした情報が再度submitされて上記の一度しか行わない処理が二度行われてしまいます。そうならないよう、リロード対策はスクリプトで制御します。 まずは確認画面のスクリプト 確認画面でチケットを発行し、セッションに保存しておきます。同時に完了画面へチケットがPOSTされるよう、hiddenにセット。こうして完了画面へ遷移させます。それでは完了画面のスクリプトを見てみましょう。 このように、確認画面で発行されたチケットは一度使い切ってしまえば2度処理さ

最終回：「ソースは明かせない……」――ソースコードをバイナリ／難読／暗号化する：「Zend Framework」で加速するPHP開発（1/2 ページ） PHPはスクリプト言語であるため、PHPでアプリケーションを作成して配布すると、ソースコードが読める状態になってしまいます。今回は、PHPのソースコードをバイナリ／難読／暗号化する「Zend Guard」を紹介します。 PHPはスクリプト言語であるため、PHPでアプリケーションを作成して配布すると、「オープンソースとして公開する／しない」という意図にかかわらず、ソースコードが読める状態になってしまいます。しかし、商用製品などでは、クライアントにソースコードを公開したくない場合もあるでしょう。今回は、PHPのソースコードをバイナリ／難読／暗号化する「Zend Guard」を紹介します。 Zend Guardの機能 Zend Guardは、PH

ウイルス、ワーム、ボットによる攻撃……ネットワーク上に存在する脅威は多種多様である。サーバにアクセスされた形跡を見て、それが通常のものなのか、それとも脅威なのかを判断するには知識と経験が必要となる。そこで本連載では、インシデント・ハンドリングのために必要な「問題を見抜く」テクニックを分野ごとに解説していく（編集部） ※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 インシデントを最終判断するのは「人間」 インターネットは、いわずと知れた世

PHPセキュリティ・レスポンス・チームを離脱したPHP開発者のStefan Esser氏が，3月にPHPのバグを公表し続けた活動「Month of PHP Bugs（PHPバグ月間）」をご存じだろう（関連記事：「3月は「PHPバグ月間」，元開発者がバグを毎日公開へ」，「PHPのぜい弱性を毎日公表するプロジェクト，ユーザ会のメンバーが日本語訳公開」）。Stefan Esser氏が公開したバグのいくつかは，危険な関数を無効にすることで回避可能である。 もし読者が自身のサーバーでPHPを使っている場合，エンジンの意図しない部分まで公開されていないか，その構成をチェックする必要がある。もしぜい弱な部分が公開されている場合は，そこからシステム全体，ひいては使っているネットワークの他の部分まで公開されてしまう可能性があるからだ。 使っているWebシステムが閉じている（つまり，他のユーザーによるファイル

不用意にメールアドレスを公開してスパムメールの嵐…を防ぐ方法 Category: IT - Bookmarks: Check Tweet どしゃ降りの雨を思わせるほどに迷惑メールが送られてくる。 そんな経験をされたことはないだろうか。 インターネット上に公開されているメールアドレスを無作為に集めるソフトが存在し、集められたリストは収集元やホスト名によりカテゴライズされて売られているという。 万全とまでは行かないが、これらの迷惑行為による被害を減らすため、検索サイトのロボットや検索ソフトにメールアドレスを収集されない為の工夫がいくつかある。 インターネット上、ホームページやブログにメールアドレスを公開する場合、参考になるのではないだろうか。 では、公開するメールアドレスを仮に「totem[email protected]」としよう。以下に、対処方法、やり方、コメント等を記述する。 １．メールアド

知らないサイトをブラウザでいきなり開くのは危険な行為だ。こうした場合、URLを入力するだけでサイトのドメイン情報のほか、評判や周辺情報といった“素性”を確認できるサービスを利用しよう。 ネット上で見つけたURL、メールアドレスの発信元、もしくはアクセスログで得られたサイトやドメインについて、実際にブラウザで開く前に情報を得たいことがある。ドメインに関する基本情報はWHOISを使えば確認できるが、あくまでもテキスト主体でサイトの概要しか知ることができず、ネット上での評判まで知るのは不可能だ。 最近になって、こうした場合に便利な、サイトの詳細情報や周辺情報を提供してくれるサービスが続々登場してきている。今回はその中から代表的なサービスを紹介しよう。 まず1つめは「aguse.net」だ。このサービスでは、WHOISで得られる基本的な運営者情報はもちろんのこと、サイトのスクリーンショットや、サー

ブロードバンド・ルーターを介さずにパソコンをインターネットに直接つないでいたり，ルーターのポートを開けてLAN内のパソコンをサーバーとして外部に公開したりしていると，毎日のように不審なパケットが何者かによって送りつけられてくる。 つい先日も，実験のためにWebサーバーを公開したときの1カ月分のアクセス・ログを見てみたら，攻撃を受けた痕跡が大量に記録されていた。 こうしたインターネットからの攻撃を受けたとき，やるべきことは二つ。まず最優先はサーバーやパソコンが被害を受けていないかをチェックすることだ。被害を受けていたらすぐに修復し，適切なセキュリティ対策を施す。 それから，攻撃してきたのがどこの誰なのかを突き止める。攻撃パケットをいくつか受け取ったからといって目くじらを立てる必要はないが，あまりにしつこいようなら攻撃者が契約しているプロバイダに連絡するなどの手を打つことも考えたい。そのために