Firefox、Qwantとのパートナーシップを発表 ー 詳細は不明
4月5日、Firefoxはプライバシー重視の検索エンジンQwantとのパートナーシップを発表した。 この動きは、利用者が自分の価値観に沿った意識的な選択を行えるようにし、より良いウェブ体験を実現するためのものだとしている。 4月5日、Firefoxはプライバシー重視の検索エンジンQwantとのパートナーシップを発表した。 この動きは、利用者が自分の価値観に沿った意識的な選択を行えるようにし、より良いウェブ体験を実現するためのものだとしている。 Qwantはフランス発の検索エンジンで、個人情報の収集やユーザー行動の追跡を行わないプライバシーを最優先に設計されている。ユーザーの検索履歴や行動データを一切保存せず、個人のプライバシーを保護し、広告のターゲティングに利用されることなく、公平かつ包括的な検索結果を提供し、インターネットの分散化された性質を保持することに力を入れているという。 元記事で
「仕事を早く終わらせたいだけ」がセキュリティの脅威に ー AI時代の生産性とセキュリティの間の緊張関係
4月4日、1Passwordは「AI時代のセキュリティと生産性（Security and productivity in the age of AI）」という年次セキュリティレポートを公開した。このレポートは、ビジネスの進歩がセキュリティにとってしばしば逆効果になる可能性があるという、避けられない結論に達している。 4月4日、1Passwordは「AI時代のセキュリティと生産性（Security and productivity in the age of AI）」という年次セキュリティレポートを公開した。このレポートは、ビジネスの進歩がセキュリティにとってしばしば逆効果になる可能性があるという、避けられない結論に達している。 北米のホワイトカラー従業員1,500人、うちセキュリティ専門家500人を対象に実施した調査により、生産性とセキュリティの間に新たな緊急性を帯びた緊張関係が浮かび上が
OpenSSL 3.3ベータ版がリリース ー QUICのサポートが強化された注目のアップデートに
4月3日、OpenSSLはOpenSSL 3.3のベータ版を公開した。このリリースは、半年ごとのリリーススケジュールに従って行われた。OpenSSL 3.3のコードは現在機能的には完全に揃った状態であり、最終リリースも予定通りに行われることが期待されている。 4月3日、OpenSSLはOpenSSL 3.3のベータ版を公開した。このリリースは、半年ごとのリリーススケジュールに従って行われた。OpenSSL 3.3のコードは現在機能的には完全に揃った状態であり、最終リリースも予定通りに行われることが期待されている。 特にQUICプロトコルのサポート強化は、リアルタイム通信の需要が高まる中での重要な進歩と言える。QUICは、高速で信頼性の高い接続を提供することを目的としたプロトコルで、今回のアップデートにはQUIC qlog診断ロギングサポート、複数のQUIC接続やストリームオブジェクトの非ブ
ログ管理・分析プラットフォームのGraylog、開発者向けに無料のAPIセキュリティツール提供
2月5日、オープンソースのログ管理・分析プラットフォームを展開するGraylogが、APIのセキュリティを強化するための無料ツールを開発者に提供することを発表した。 Graylog API Securityの無料版は、有料版と同様の機能を提供しているが、ストレージ容量が制限されていること、1年ごとにライセンス更新が必要となる。 このツールは、API開発者とサイバーセキュリティチームとの連携を促進することを目的としており、以下のような機能を提供している。 APIの分類 リスクスコアリング リアルタイムでのAPI監視 … 急増するAPIへの攻撃、サービス運営者は早急な対策を Graylogは、（以前買収した）Resurface.ioによって開発されたAPIセキュリティプラットフォームの技術を活かしてこの無料版を提供している。APIのリクエストとレスポンスの詳細をキャプチャし、悪意のあるアクティ
セキュリティエンジニアを3年続けて分かったおすすめ勉強法
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
攻撃者の“裏事情”から考える いま注目のランサムウェアグループとその特徴
セキュリティベンダーのウィズセキュアは2023年11月10日、「最新サイバー脅威解説セッション」を開催した。 同年11月1日に日本法人のカントリーマネジャーに就任した藤岡 健氏、そしてイベント「CODE BLUE 2023」講演のために来日していたWithSecureの研究所主席研究員（CRO）であるミッコ・ヒッポネン氏も登場し、リサーチ結果とともに、同社の推進する「グッドパートナーシップ」にも言及するセッションを実施した。 ランサムウェアは“リサイクル”されている？ 攻撃者の裏事情とは ウィズセキュアがリサーチした結果をまとめたセッション「2023年の新型ランサムウェアについて」では、ウィズセキュアの島田秋雄氏（サイバーセキュリティ技術本部長）、そして自称“サイバーセキュリティサラリーマン”のミッコ・ヒッポネン氏が互いに質問し合う形式で進められた。 ヒッポネン氏ははじめに、自身の近著であ
Linuxカーネルに重大な脆弱性 | スラド Linux
The Hacker Newsは6日、Linuxカーネルに「StackRot」と呼ばれる重大な脆弱性が発見されたと報じた。この脆弱性はLinuxのバージョン6.1から6.4に影響を与える可能性があり、深刻度は重要（High）と評価されている。ただし、現時点ではこの脆弱性が悪用された形跡はないとのこと（The Hacker News、TECH+）。 このStackRotは「CVE-2023-3269」として追跡されているLinuxカーネルの脆弱性。セキュリティ研究者のRuihan Li氏によって発見されたこの脆弱性は特権昇格を可能にし、ほとんどのLinuxカーネル構成に影響を与える可能性がある。この脆弱性の影響を受けるLinuxカーネルに対しては7月1日からパッチが提供されている。
セキュリティヘッダ警察です！既に包囲されている！観念してヘッダを挿入しなさい！ - エムスリーテックブログ
【セキュリティチームブログリレー2回目】 こんにちは。エンジニアリンググループの山本です。 セキュリティチームは、エンジニアリンググループ全体のセキュリティを向上させるためのバーチャルチームなのですが、各プロダクト開発チームのサービスをチェックして、協力しながら全体のセキュリティを向上させていくのがミッションです。 そのお仕事の一環として「この部分、セキュリティヘッダが足りないから入れてください！」というやりとりを日常的に行なっています。 今日はこの「セキュリティヘッダ」というものが一体何なのか、今さら人に聞けないアレコレを取りまとめてみたいと思います。 セキュリティヘッダ警察の日常の図(もちろん冗談です) セキュリティヘッダ そもそもセキュリティヘッダとは？ 比較的安全なセキュリティヘッダ X-Content-Type-Options X-XSS-Protection Strict-Tr
Pythonの15年間見過ごされてきた脆弱性が30万件以上のオープンソースリポジトリに影響を与える可能性
プログラミング言語のPythonで、2007年に存在が公開されたものの修正されなかったバグが再発見されました。任意コード実行可能な脆弱性にもつながるこのバグの影響は、コーディング自動化ツールを介してさまざまなプロジェクトに広まっており、修正するべきオープンソースリポジトリが35万件以上にも及ぶと指摘されています。 Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trell
新たな形態のLinuxマルウェアが見つかる--検出は「ほぼ不可能」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 検出が「ほぼ不可能」という新たな形態のLinuxマルウェア「Symbiote」が、BlackBerryのResearch and Intelligence Teamの研究者らと、Intezerのセキュリティ研究者であるJoakim Kennedy氏によって発見されたという。カナダのBlackBerryが現地時間6月9日に発表した。 それによると、このマルウェアは「寄生性」を有しているためSymbiote（共生者）と名付けられたという。 これらの研究者らがSymbioteを発見したのは数カ月前のことだ。Symbioteは、実行中のプロセスに対して侵害を試みるという、Linuxで今日一般的に見られる通常のマルウェアとは異なり、LD_PREL
Okta、ハッカー集団「Lapsus$」によるセキュリティ侵害の最終調査結果を公表
Oktaの最高セキュリティ責任者(Chief Security Officer)を務めるデビッド・ブラッドベリー(David Brabury)氏は4月19日、2021年1月に発生したセキュリティインシデントに関する調査を終了したことを同社のブログで明らかにしました。 (原文)Okta Concludes its Investigation Into the January 2022 Compromise https://www.okta.com/blog/2022/04/okta-concludes-its-investigation-into-the-january-2022-compromise/ (日本語訳)Okta、2022年1月の侵害に関する調査を終了 https://www.okta.com/jp/blog/2022/04/okta-concludes-its-investig
OpenSSLに無限ループの脆弱性、アップデートを
OpenSSLプロジェクトチームは3月15日、「OpenSSL Security Advisory [15 March 2022] - Infinite loop in BN_mod_sqrt() reachable when parsing certificates (CVE-2022-0778)」において、OpenSSLに処理が無限ループに陥る脆弱性が存在すると伝えた。深刻度は重要（High）と評価されており注意が必要。すでに問題に対処したバージョンが公開されていることから、該当するバージョンを使用している場合はアップデートを適用することが望まれる。 OpenSSL Security Advisory [15 March 2022] - Infinite loop in BN_mod_sqrt() reachable when parsing certificates (CVE-202
イラストで正しく理解するTLS 1.3の暗号技術
イラストで正しく理解するTLS 1.3の暗号技術 初めに ここではTLS 1.3（以下TLSと略記）で使われている暗号技術を解説します。 主眼はTLSのプロトコルではなく、「暗号技術」の用語の挙動（何を入力して何を出力するのか）と目的の理解です。 実際にどのような方式なのかといった、より詳しい説明は拙著『図解即戦力 暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書』（暗認本）や『暗認本』の内容を紹介したスライドや動画などの資料集をごらんください。 なお表題の「イラストで」は数式を使わないという程度の意味です。 TLSで守りたいもの TLSはコンピュータ同士が安全に通信するための規格です。 主に人がブラウザを介して「https://」で始まるWebサイトにアクセスするときに利用されます。 安全に通信するためには、通信内容が盗聴されても情報が漏れない機密性が必要です。 それから通信が改
Javascript Security Checklist
Summary Introduction 1. Code Linting & SAST 2. Running a security audit with npm audit 3. Integrity checking for JavaScript (SRI) How does it work? 4. Validations, Validations, Validations! 5. Minify and obfuscate your Javascript Conclusion Introduction Javascript is everywhere, It runs inside your browser, astronaut spacesuit, and most developers use it as a client-side and server-side programmin
Implementing Passwordless Authentication in Node.JS
Broken authentication is the second-highest security risk for web applications. This usually means that session management and authentication aren't handled correctly. This gives attackers several avenues to get access to data they can use maliciously. That's why it is important to make sure you get the best practices in place as early in the development process as possible. You can do a few thing
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Deno 1.36がリリース ー Node.jsとの互換性向上、テストとベンチマークのAPI改善、`--deny-*`フラグによるセキュリティオプションが追加
In 2022, security will be priority number one for Linux and open-source developers
Ransomware has surged — Why the attacks are ‘going crazy right now’
Privacy and security in the software designing ...........
The Complete Guide to Angular Security