SSHプロトコルを標的にした「Terrapin攻撃」 インターネットのSSHサーバの半数以上が脆弱だと判明
The Shadowserver Foundationは2024年1月3日（現地時間、以下同）、「X」（旧Twitter）へのポストでインターネットに公開されているSSHサーバのうちユニークIPベースで1100万台が、SSHを標的とした新しいサイバー攻撃「Terrapin攻撃」に対して脆弱（ぜいじゃく）だと伝えた。これはインターネットに公開されているSSHサーバの52％ほどと推測されている。 Terrapin攻撃はドイツのルール大学ボーフムの研究者らによって発見されたSSHプロトコルを標的とした新しい攻撃手法だ。コネクション初期段階のハンドシェイク中にシーケンス番号を調整してクライアントおよびサーバに気が付かれずにメッセージを削除するという中間者攻撃（MITM）の一種で、キーストロークの不明瞭化を無効化して弱い認証アルゴリズムを使用させるといったセキュリティの弱体化を引き起こすことが可能と
DiscordのGIGAZINE公式サーバーの公開ベータテストを開始したので参加してくれるとうれしいです！
GIGAZINEの新着ニュースを閲覧するには「GIGAZINEをお気に入り登録する」「GIGAZINEのSNSアカウントをフォローする」「GIGAZINEのRSSを購読する」といった方法があります。新たに、GIGAZINEの新着記事を速攻で確認できる公式Discordサーバーを開設しました。 「Discordのアカウント持ってないよ……」という読者も大丈夫。以下の手順に沿って操作すればすぐ参加できます。DiscordアカウントがあればGIGAZINEのサーバー以外にも多様なコミュニティに参加可能。作っておいて損はありません。 まずは、以下のウィジェット下部の「Join Discord」をクリック。 ウィジェットが表示されていない場合は、以下のリンクや画像をクリックしてもOK。 https://discord.gg/gigazine-gigazin-1037961069903216680 次
インターネットの根幹支えるDNS、「つくづく面倒なプロトコル」と言わざるを得ない
数字の羅列であるIP（Internet Protocol）アドレスを人間が理解しやすいドメイン名に置き換えて扱えるようにするDNS（Domain Name System）。インターネットの根幹を支えるサービスだ。 これまでDNSにまつわる多くの記事を書き、査読してきた。ただ、いまだにつくづく面倒なプロトコルだなと思う。 まず仕組みそのものが面倒だ。ドメイン名を構成する区切り（ドットで分かれている部分）ごとに権威DNSサーバーがあり、それらに対し反復的に問い合わせて名前を解決する。 この仕組みを図にするとかなり大きくなる。一目で理解するのが難しく、「なぜこんな仕組みなのか」と疑問も抱かせる。とはいえDNSがドメイン名の区切りごとに責任を持って管理しつつ、過剰に責任が集中しないように分散させる仕組みであると分かれば、図の大きさや複雑さに理解を示せよう。 しかしDNSにまつわる名称の問題はいただ
企業が「オンプレミス回帰」に踏み切る“まさかの現実” そもそもの原因は？
関連キーワード オンプレミス | スケーラビリティ | クラウド運用管理 | クラウドサービス 企業がアプリケーションを動かすインフラとして、オンプレミスのデータセンターかパブリッククラウド、または双方を組み合わせたハイブリッドクラウドを選べる。市場を見ると、パブリッククラウドの採用は加速している。 一方で、調査会社IDCが2022年に発表した調査結果によると、パブリッククラウドを利用している回答企業の71％が、パブリッククラウドに配置しているアプリケーションの一部または全てを、2023年末までにオンプレミスに移行することを計画している。その理由を分析しながら、オンプレミスとパブリッククラウドの特徴を比較する。 なぜ企業は「オンプレミス回帰」に踏み切る？ そもそもの原因とは 併せて読みたいお薦め記事 クラウドとオンプレミスを比較する オンプレミスかクラウドか「ハイブリッド」か？ バックアッ
自治体システム標準化、ガバクラ移行で運用コスト2～4倍に悲鳴「議会に通らない」
2025年度末までに全国1741地方自治体の業務システムを標準準拠システムに移行させる「自治体システム標準化」。デジタル庁が整備するパブリッククラウド基盤である「ガバメントクラウド」を活用することで、システム運用コストが移行前の2～4倍に跳ね上がる試算や見積もりが複数の自治体で出ている。 アプリケーションをクラウドネイティブに変えるなどの最適化を行えば、ガバメントクラウドを利用することでコスト削減になると、これまでデジタル庁は説明してきた。だが、試算や見積もりからは、クラウド利用料のほかネットワーク費用、システム利用料、保守運用費などの費用がかさみ、クラウドネイティブ化しても移行前よりもコスト高になる可能性がある。国は標準準拠システム移行によって移行前から運用コストを3割削減するとしている。ガバメントクラウド利用に伴う移行後の運用コスト増の対策を迫られそうだ。 AWS利用でインフラコストが
Ruby on Railsの作者がコンテナ・デプロイ・ツール「Kamal 1.0」を公開
Ruby on Railsの作者として知られるDavid Heinemeier Hansson氏は、コンテナ・デプロイ・ツール「Kamal 1.0」を9月19日（現地時間）に公開した。同氏は開発したWebサービスをクラウド・プロバイダーから自前のサーバーに移行する手続きを進めており、Kamalはその手続きの中で生まれたという。KamalはMITライセンスで公開しているオープンソース・ソフトウェア。 Kamalは、Dockerでコンテナ化したアプリケーションを配備するツール。設定ファイルに外部の公開IPアドレスを記入して起動すれば、Linuxが動作するコンテナが動き出す。このコンテナにはSSHで接続することも可能だ。 Hansson氏はKamalをWebアプリケーションをクラウドから自前のサーバーに移す目的で使用しているが、クラウド間での移動など、ほかの目的にも利用できる。Kamalを利用す
MicrosoftやGitHubがオープンソースのソフトウェア「GNU Multi-Precision Library」のサーバーにDDoS攻撃を仕掛けているとして炎上
符合付き整数や有理数、浮動小数点数を扱う任意精度演算ライブラリで、オープンソースソフトウェアのGNU Multi-Precision Library(GMP)が、2023年6月16日にMicrosoftが保有する数百ものIPアドレスからDDoS攻撃を受けていると報告しました。Microsoftとその傘下のGitHubによる調査の結果、GitHubのユーザーがFFmpeg-Buildsのスクリプトを書き換えたことが原因であることが明らかになっています。 The GNU MP Bignum Library https://gmplib.org/ Microsoft's GitHub 'DDoSes' open source GMP project • The Register https://www.theregister.com/2023/06/28/microsofts_github_gm
1つの案件で9000万ファイル超えも――白組は膨大なデータをどう管理、保護しているのか
増え続ける映像制作データ 「止まらない」「遅くならない」ITへの期待 白組は1974年に設立され、テレビ番組、テレビCM、ゲーム用ムービー、テレビアニメーションの他、劇場用映画のVFX（Visual Effects）映像なども手掛ける映像制作会社だ。多くの視聴者を魅了したビッグタイトルの制作に携わっており、クオリティーと表現力で高く評価されている。 従業員の多くがクリエイター／アーティストであり、彼らの制作業務を支える重要な役割を果たしているのが同社のITインフラだ。整備や運用はシステム部が担当している。 白組の入田尭光氏（システム部長）は、「映像制作業務は年々高度になっており、扱うデータ量や計算リソースが膨大になっています。そうした要求に対して、社内の制作環境や制作フローの見直しなどをITの視点から提案したり、制作側の要求に対する最適解を模索したりするのがシステム部の仕事です。私たちは映
ITベンダー不要論は本当か、AWSやSAPを日本市場で売るために必要な資質
欧米には遅れているものの、日本企業のクラウドシフトは進み始めている――。IT大手は日本市場の動向をこう読む。「Amazon Web Services（AWS）」や「Microsoft Azure」「Google Cloud」のようなメガクラウドベンダーだけではない。日本IBMやSAPジャパンのようにオンプレミスのソフトウエア販売からクラウドへとビジネスの主力を変えつつある企業も同様だ。 クラウド移行の一般的なプロセスである「リフト・アンド・シフト」のうち、オンプレミスで設置したサーバーをクラウドに移行する「リフト」は多くの企業で実施済み。クラウドならではの特性を生かしてシステムを再構築する「シフト」に向かう企業が増えている。クラウドベンダーに共通する見解だ ところがクラウドサービスのユーザー企業への導入を支援するパートナー企業、つまりITベンダーの見方は異なる。 「実際にはリフトに取り組む
サーバレスってなに？Alibaba Cloud, AWS, Azure, Google Cloud のサーバレスサービスを比べてみました｜クラウドテクノロジーブログ｜ソフトバンク
サーバレスってなに？Alibaba Cloud, AWS, Azure, Google Cloud のサーバレスサービスを比べてみました</h1>\r\n"}}" id="text-469def0355" class="cmp-text"> サーバレスってなに？Alibaba Cloud, AWS, Azure, Google Cloud のサーバレスサービスを比べてみました <span class=\"biz-smb-fs-p1\"><b>Batch/OLAP Software Engineer, CRE（Customer Reliability Engineer）<br>\r\n 大原 陽宣</b></span></p>\r\n<p>多様多種で複雑なデータを明確化し、テクノロジーでイノベーションを起こすことで、昨日までは不可能だったものを、明日は可能になるようなデータエンジニアを目指し
サーバーの応答が遅くなる、ネットワーク機器で「想定外」の事態が発生していた
ある顧客から、データセンターに設置したサーバーからの応答が遅くなっているとの報告があった。調査の結果、データセンターに設置したネットワーク機器（スイッチ）のCPU負荷が高まっていることが判明。スイッチでは想定していなかった事態が発生していた。 サーバーからの応答が遅れているが、業務に支障が出るほどではない――。こうしたトラブルは原因を特定しにくく、解決が難しい。一時的にアクセスが集中したために応答が遅れる場合もあれば、ネットワーク機器に不具合が生じていることもある。 ネットワーク管理者は正常な状態からの差異を把握して、トラブルの原因が回線にあるのか、ネットワーク機器にあるのか、それともサーバーにあるのかを切り分ける必要がある。 インテックの白井 裕さんが遭遇したトラブルがまさにそうだった。業務継続には影響がない程度だったが、サーバーからの応答が遅くなった。利用者によってはフラストレーション
[2022-04-19 JST Windows/Linuxによる保護セクションを更新] CVE-2022-22965: Spring Coreにリモートコード実行脆弱性(SpringShell)、すでに実際のエクスプロイトも
目次 影響を受けるソフトウェアとバージョン Spring Frameworkの背景 CVE-2022-22965の根本原因分析 クラスローダー悪用の背景 侵害されたサーバー上でのリモートサーバーへのリバースシェル接続確立 SpringShellのエクスプロイト 実際に観測された事例 結論 追加リソース IoC 影響を受けるソフトウェアとバージョン 既存のエクスプロイトの概念実証(PoC)は、以下の条件で動作します。 JDK 9以上 ServletコンテナとしてのApache Tomcat (Spring Bootの実行可能jarとは異なる)従来のWARとしてのパッケージ化 spring-webmvc または spring-webflux との依存関係 Spring Framework バージョン 5.3.0 から 5.3.17, 5.2.0 から 5.2.19, およびそれ以前のバージョン
![[2022-04-19 JST Windows/Linuxによる保護セクションを更新] CVE-2022-22965: Spring Coreにリモートコード実行脆弱性(SpringShell)、すでに実際のエクスプロイトも](https://cdn-ak-scissors.b.st-hatena.com/image/square/b73c5441d4227330105b177aff69ed335eea183a/height=288;version=1;width=512/https%3A%2F%2Funit42.paloaltonetworks.jp%2Fwp-content%2Fuploads%2F2022%2F03%2FUnit42-blog-2by1-characters-r4d1-2020_Vulnerability-blue.png)
新たなセキュリティテスト手法、バグバウンティプログラムのすすめ（中編） - NTT Communications Engineers' Blog
こんにちは。マネージド&セキュリティサービス部セキュリティサービス部門の閏間です。総合リスクマネジメントサービス「WideAngle」の新サービスの企画を担当しています。 本記事では、私がセキュリティの知識・技術向上のために業務外で取り組んでいるバグバウンティプログラムについて、3回にわたって紹介します。 本記事により、バグバウンティプログラムの有効性と、脆弱性探しのおもしろさの両方を伝えられれば幸いです。 （前編）バグバウンティプログラムの有効性について （中編）脆弱性探しの魅力と調査方法について【本記事】 （後編）実際に発見した脆弱性の詳細について なお、バグバウンティに関する記事としては、NTT Com社内バグバウンティのご紹介もありますので、ぜひそちらもご覧ください。 脆弱性探しはおもしろい 本記事では、バグハンターとしての経験を振り返りつつ、脆弱性探しの魅力をお伝えしたいと思いま
“HTTPSレコード”って知ってる？今知るべき4つの注意点 | IIJ Engineers Blog
[注] この記事はすぐに陳腐化するはずの内容について扱っています。何年か経ってからこの記事を参照する場合、2022年3月に書かれた内容であることを留意の上お読みください。 はじめに IIJ DNSプラットフォームサービスにて、先日大きなアップデートと小さなアップデートがありました。大きなアップデートというのは、これまでのマネージドDNSサービスに加えてもうひとつ、IIJ DNSトラフィックマネージメントサービスという新たなサービスが追加されたこと。サーバの死活監視結果に応じて動的にDNSの応答を変えることができます。小さなアップデートは、従来のマネージドDNSサービスへの機能追加。HTTPSレコードに対応しました。 サービスの宣伝という意味では大きなアップデートの方を紹介した方がいいんでしょうけれど、ヘソ曲がりなのでここでは小さなアップデート、HTTPSレコードの方に焦点をあてます。 そも
なぜWindows 11でLinuxのGUIが動く？その仕組みと活用法を探る
約6年ぶりのWindows新版「Windows 11」が登場した。Linuxとの連携が強化されているのが特徴だ。Windows 11で具体的にLinuxをどう生かしていくかを解説する。 「WSLg」はLinuxのGUIアプリを動かす仕組みです。WSLgがどんな仕組みでGUIアプリの動作を実現しているかを簡単に押さえておきましょう。WSLgの仕組みについては、公式プロジェクトのWebページ（https://github.com/microsoft/wslg）で図を使って説明されています。それを筆者が簡略化したものを図11に示します。 WSLgでは、WSLで動かすUbuntuなどの通常のLinuxディストリビューション環境（「ユーザーディストロ」と呼ぶ）を起動するときに、ディスプレイサーバーを動かす専用の小さなLinuxディストリビューション環境（「システムディストロ」と呼ぶ）を、ペアで起動し
求められるのは「演技力」や「非を認めない胆力」、そんなIT運用の現場に誰がした
「ちょっとのミスでも、猛烈に怒られつるし上げられる」「そのくせ、ミスを起こさず当たり前に運用していても評価されない」「それどころか、人も予算も減らされる」―― いずれも、ITのインフラ維持など運用現場の管理者やエンジニアからよく聞く悲痛な叫びである。筆者もIT運用の現場に勤務した経験があり、その痛みを切ないくらいに感じている。今回は、日々の当たり前を支えるIT運用の現場の理不尽なリアルにスポットライトを当てる。 開発のミスは許されるのに、運用のミスはつるし上げられる理不尽 「いいよなあ開発部門は。あいつらは多少のミスは許されるのに、こっちは……」 こう漏らすのは、大手製造業A社の情報システム部門に勤務する男性。30代半ばのサブリーダーである。彼の担当は業務システムの運用と保守。能力面でも年齢の面でも現場のエース級であるはずだが、モチベーションはお世辞にも高いとは言えない。 いわく、開発部門
プライベートクラウドとは？ハイブリッド/パブリッククラウド/オンプレミスとの違い、それぞれの意味を分かりやすく解説します - カゴヤのサーバー研究室
プライベートクラウドとは、自社専用で構築・運用されるクラウド環境です。ここではハイブリットクラウドやパブリッククラウド、さらにはオンプレミスなど他のサーバー環境と比較しつつ、プライベートクラウドについて分かりやすく解説します。 プライベートクラウドとは 繰り返すようにプライベートクラウドとは自社専用のクラウド環境です。自社の運用にあわせて環境の構築やカスタマイズができるのが主な特長です。プライベートクラウドは構築の仕方の違いによって、自社内で構築されるオンプレミス型プライベートクラウドと、パブリッククラウド内を区切ってお客様専用のクラウド環境を構築・提供するサービス(ホスティング型プライベートクラウドと便宜上呼ぶ)に分類されます。パブリッククラウド内の区切り方としては、VPN接続やIP制限、UTMや認識装置などがあります。 オンプレミス型プライベートクラウド オンプレミスとは自社の建物内に
レイテンシとは | クラウド・データセンター用語集／IDCフロンティア
レイテンシとは、データ転送における指標のひとつで、転送要求を出してから実際にデータが送られてくるまでに生じる、通信の遅延時間のことをいいます。 この遅延時間が短いことをレイテンシが小さい（低い）、遅延時間が長いことをレイテンシが大きい（高い）と表現しています。 インターネット通信においてデータ転送速度が遅延することはユーザーの不満につながりやすく、離脱者を増やす（＝収益機会を逃す）重大な課題となりやすいため、Webサイトやゲーム・アプリのような即応性が求められるコンテンツを提供する場合や、スマートデバイスを活用したサービスを提供する場合には重視されている指標です。 システムの個々の要素のデータ処理能力が高かったとしても、要素間のデータ転送におけるレイテンシが大きいとシステム全体の処理能力は低くなってしまいます。 システム全体のレイテンシを高めるにはサーバーの処理性能向上やネットワーク帯域の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
自宅がサーバールームに!? A10、Cisco、古河電工のネットワーク機器がカプセルトイで登場 ラックに収納し、LANケーブルの接続もできる！
次期Windows Serverからついにアレが消える！ 動作不能になった非推奨機能の末路は……
