＠IT：クロスサイトスクリプティング対策の基本
最近Webアプリケーションに存在するセキュリティホールが注目を浴びている。その中でも「クロスサイトスクリプティング」と呼ばれる脆弱性が有名であるが、クロスサイトスクリプティング脆弱性について正確に理解している人が依然として少ないと感じる。 本稿では、クロスサイトスクリプティングとはどのような脆弱性であるのか、この脆弱性を持ったサイトが攻撃されるとどのような被害が起き得るのか、なぜそのようなセキュリティホールが作り込まれてしまうのか、どのように対策をすればよいのかを解説していく。 ※以下本文中では、クロスサイトスクリプティング脆弱性のことを「XSS」と表記する。「Cross Site Scripting」の略であるから「CSS」と表記している記事もあるが、「Cascading Style Sheets」の略も「CSS」となり紛らわしいため、「XSS」と表記する場合が多くなってきている。本稿で
第4回 JavaScriptでオブジェクト指向プログラミング ― ＠IT
JavaScriptが、いま注目を浴びている。 JavaScriptがこれだけの注目を浴びた理由の1つとして、Ajax技術の登場とも相まって、JavaScriptに対する確かな理解の必要性が高まったという事情は否定できない。しかし、それだけでは説明できない急速な注目の理由として、もう1つ、JavaScriptという言語そのものが持つユニークさが開発者の目を引いたという点は看過できないだろう。 もっとも、このユニークさは同時に、多くの開発者が感じているJavaScriptに対する苦手意識と同義でもある。これまでVisual BasicやC#、Javaといった言語でオブジェクト指向構文になじんできた開発者にとって、JavaScriptのオブジェクト指向構文はいかにも奇異なものに映るのだ。ようやくクラスという概念を理解した開発者が、JavaScriptという言語の背後にたびたび見え隠れする「プロ
nslookup ～DNSサーバに名前解決の問い合わせを行う
nslookupコマンドは、DNSクライアントの名前解決機能を手動実行するためのコマンドだ。正引き／逆引き、Aレコード／NSレコード／MXレコードなどのレコード種類の絞込み検索や、再帰検索／イテレイティブ検索、DNSサーバの任意切り替え、デバッグの実行など、さまざまなオプションからDNS検索の診断が行える。単にDNS検索を行いたいだけの場合にも、十分な機能を提供するだろう。 書式 nslookup[ -setコマンド・オプション][ ホスト・ドメイン名またはIPアドレス[ -DNSサーバ名]] 一般的なコマンド・ライン・モードのほか、ホスト・ドメイン名やIPアドレスが与えられていない場合には、対話モードで使用できる。対話モードでは、コマンドを指定することで、DNSサーバ切り替えやゾーン情報の参照なども行える。またLinuxでは、ユーザーのホーム・ディレクトリの「.nslookuprc」ファ
リモートアクセス型VPNの構築ポイント
前編の「組織間を接続する『サイト間接続型VPN』とは？」ではサイト間接続型VPNの構築ポイントについて記述したが、後編の今回は、リモートアクセス型VPNの構築ポイントについて考えていく。図1にリモートアクセス型VPNの典型的なネットワーク図を紹介する。リモートアクセス型VPNの環境を構築する場合も、サイト間接続型VPNと同じIPSec技術を利用することとなるが、両者では要求される技術要件に相違がある。 今回は、リモートアクセス型VPNで要求される技術要件の中から以下のものを説明する。 VPNの接続先相手の認証 VPNの接続環境（NAT環境） 相互接続性 IPSec標準における接続先相手認証 リモートアクセス型VPNにおける認証について説明する前に、IPSec標準で規定されている接続先相手の認証方法について記述する。IPSecでは、実際にデータの暗号化通信の開始に先立ち、IKE（Intern
syslogdの限界と次世代シスログデーモン
syslogdの問題点 UNIX系OSでは、syslogdがデフォルトインストールされていることに加え、ファシリティとプライオリティの組み合わせで出力を制御できる手軽さが相まって、シスログが広く利用され、そのデーモンにsyslogdがデファクトスタンダードとして普及しています。 しかし、これほど広範囲に利用されているにもかかわらず、シスログがRFC3164（http://www.ietf.org/rfc/rfc3164.txt）として標準化されたのは2001年と比較的最近のことです。その間もsyslogdは使い続けられ、キャリアクラスの用途でない限り、見直されることはありませんでした。 ところが最近になり、日本版SOX法に代表される内部監査の一環として、内外の通信記録、メールの送受信記録、ログイン記録など、シスログの用途が広がりを見せています。従来シスログは、障害の検知やその原因調査など、
第2回 インターネットVPNの基礎知識
インターネットVPNで利用されるプロトコル インターネットVPNの大まかな概念はお分かりいただけたことと思う。次は、VPNの中心をなす仮想トンネルのしくみと、これを実現するプロトコルについて説明しよう。 ■カプセル化とトンネリング VPNでは、通信相手の認証（VPNトンネルを作成する双方が、お互いに正しい相手であることを保証する機能）が必須となるが、インターネットで使われるIP（Internet Protocol）プロトコルは通信相手を認証する機能を持っていない。ユーザー認証の機能を備え、2点間をポイント・ツー・ポイント接続するプロトコルにはPPP（Point to Point Protocol）がある。ところが、PPPはシリアル回線のように、送信側と受信側が1対1で接続されているような回線でしか利用できない。そこで、PPPのフレームをIPのデータグラムに埋め込んで送信し、受信側で元のPP
省電力時代に求められる高効率電源ユニット− ＠IT
PCを取り巻く最新ハードウェア動向や製品ガイドなどを解説する新連載開始。第1回は電源ユニット。分かりづらい電源効率と力率について解説。 連載目次 今回から始まる連載「PCハードウェア強化ラボ」は、PCを構成する主要パーツや周辺機器などについて、その機能や特徴、最近の動向、最新規格、改良点、選択のポイント、Windows OSにおけるサポート状況などについて解説するコーナーである。PCで利用されるパーツの種類や構成はほぼすでに決まっており、今後もそう大きく変わることはないだろうが、その機能や性能などは日々改良され、機能が強化されている。本連載では、管理者の視点から見た、最新PCハードウェアの動向や新規格などに注目して解説していく予定である。取り上げる話題としては、CPUやメモリ、ディスク、インターフェイス規格（USBやディスプレイ規格など）、周辺機器など、新しいPCシステムを導入するに当たっ
＠ＩＴLinuxクラスタリングフェイルオーバーの仕組みと問題点
いままで、フェイルオーバークラスタシステムはUNIXやWindows NT／2000の独壇場でしたが、2000年あたりからLinuxフェイルオーバークラスタソフトを各ベンダが出荷し始めました。さて、Linuxのフェイルオーバークラスタはどのように実現されているのでしょうか？ 前回は、一口にクラスタシステムといってもフェイルオーバークラスタ、負荷分散クラスタ、HPC（High Performance Computing）クラスタなど、さまざまなクラスタシステムがあるという話でした。そして、「フェイルオーバークラスタ」はHA（High Availability）クラスタの一種で、サーバそのものを多重化することで、障害発生時に実行していた業務をほかのサーバで引き継ぐことにより業務の可用性（Availability）を向上することを目的としたクラスタシステムでした。 今回はNECのCLUSTERP
ウイルス付きメールやスパム（迷惑メール）の送信元を調査する（Received:フィールドで送信経路を追跡）
このウイルス付きメール、本当の送信者は誰だ？ 電子メールのヘッダ部分には、そのメールが途中経由してきた中継サーバを表すための「Received:」というヘッダ情報が付けられている。これを調べることにより、そのメールがどこからやってきたかを知ることができる。 特にウイルス付きのメールなどを受け取った場合に、そのメールを送信しているのは誰か（どういうIPアドレスを持つホストか）ということが分かる。 ウイルス付きメールやスパムメールは、送信者アドレスを偽装するのが普通なので（こうすればメールシステムのフィルタリング設定などをすり抜けやすいから）、メールに書かれている送信者の電子メールアドレスがそのメールを送信しているということはまれである。本当にその本人が送信しているのか、それとも単に送信者アドレスを偽装して送信しているのかを判断するためには、このようなヘッダの詳細なチェックが欠かせない。 メー
制約の確認／作成／削除 － ＠IT
Oracle管理者のためのSQLリファレンス ■制約の確認／作成／削除 表の各列には整合性制約と呼ばれるルールを指定できます。整合性制約は5つあります。 NOT NULL制約 列の値がNULLでないこと。列に必ず値を入力しなければなりません。 一意キー制約（UNIQUE制約） 列のすべての値が一意であること。指定した列で値が重複することは許されません。ただしNULLは複数存在することが許されます（NULLはどの値とも等しいと見なされない）。 主キー制約（PRIMARY KEY制約） その列が行を一意に識別できること。表には、主キー制約を最大1つ指定できます。主キー制約では、値は重複してはならず、またNULLも許可されません。 参照整合性制約（REFERENCES制約） 関連付けられた表の共通する列の関係が保たれていること。参照整合性制約では、表の各行の外部キー値は、親表の値と一致していなけ
.NETエンタープライズWebアプリケーション開発技術大全 Webアプリケーションの状態管理（3/4） - ＠IT
.NETエンタープライズ Webアプリケーション開発技術大全 Webアプリケーションの状態管理 マイクロソフト コンサルティング本部 赤間 信幸 2004/05/20 2.4 Webファームを利用する場合の暗号化鍵の設定 ASP.NETランタイムがクライアントブラウザに送出するViewStateデータには、改ざん検出機能が備わっている。これは、悪意のあるユーザによるViewStateデータの書き換えを防ぐためのもので、具体的にはWebサーバが持つ暗号化鍵を利用した、鍵付きハッシュ値の付与により実現されている。このため、Webファームを構成する場合には、すべてのWebサーバで暗号化鍵を揃えておく必要がある。 ハッシュ値や鍵付きハッシュ値に馴染みのない方も多いと思われるので、まずこれらについて以下に簡単に説明する。 ハッシュ値とは一種のチェックサムのようなもので、元データをある特殊な計算関数に
分散サービス拒否（DDoS）攻撃を仕掛けるDNS ampとは？
DNS amp攻撃では、インターネットからアクセス可能なDNSキャッシュ・サーバを踏み台にしてDDoS攻撃を仕掛ける。踏み台として利用されないためには、インターネットからキャッシュ・サーバが利用できないようにする。それにはアクセス制御を行うか、コンテンツ・サーバと分離して運用する。 解説 ●DNSサービスを使った分散サービス拒否攻撃、「DNS amp」の発生が懸念 インターネット上での名前解決サービスを提供するDNSは、インターネットにおける非常に基本的なサービスであるが、これを利用した大規模な分散サービス拒否攻撃（DDoS攻撃）の発生が懸念されている。細工したDNS要求をBOT（攻撃を行うコンピュータ）に送ると、対策の施されていないDNSサーバを“踏み台（攻撃の足がかり）”にして、攻撃対象に大量のDNSパケットが送信される。これにより、処理能力やネットワーク回線が混雑、飽和し、正常な利用
S/MIMEでセキュアな電子メール環境をつくる！
メールでのセキュリティの必要性、そして代表的な2つの通信方式S/MIMEとPGPの仕組みと違いについて、ご理解いただけたでしょうか？ 本章では、S/MIMEの仕組みについてさらに踏み込んで解説していきます。 S/MIMEのメールメッセージ作成の手順は下記のようになります。 (1) メールメッセージをMIME化します。つまり、通常のメールのヘッダ部のうち、あて先や送信元のメールアドレスを除いたものをつけます (2) MIME化したメッセージを入力として署名データまたは暗号文データを作成します。このデータのフォーマットはRFC2315 "PKCS #7 : Cryptographic Message Syntax Version 1.5" で決まっています
SSL／TLS（Part.1）
まず、目立つのは下半分に横たわるReocord Protocolである。Record Protocolより上位にある各プロトコルは、Record Protocolを介して対向する通信相手とデータをやり取りする。Record Protocolは前述のように圧縮／暗号化を行っているので、これら上位プロトコルでの通信内容は原則として暗号化されることになる。 その際、Record Protocolでは、図中の「利用中の暗号化パラメータ」と書かれている情報に基づいて暗号化の処理を行っている。この「利用中の暗号化パラメータ」には、具体的に言えば、使用する圧縮アルゴリズムや暗号アルゴリズム、また暗号化／復号で使うキーなどが含まれる。いわば「圧縮／暗号化のルール」とでも考えれば分かりやすいだろう。 では、この「利用中の暗号化パラメータ」は、どうやって取り決めるのだろうか。「圧縮／暗号化のルール」である以上
SAN導入実践テクニック 特別編 拡大するSANとそれを実現する最新技術
今日多くのユーザーでSANが初期導入されている一方、先進ユーザーではそれをさらに大規模化して、巨大なSANインフラを作り上げる事例が出てきている。SANは初期導入の時期を経て、拡張の段階に達してきているといってもいいだろう。本稿では、SANが拡大するに従って表面化してくる課題とそれらを解決する方法と技術について、現在提供されている、もしくは今後登場するであろう技術に照らし合わせて解説していく。 1． 遠隔地へのデータバックアップおよびリストア 「大量のデータを効果的にバックアップするにはどのような方法を取ればいいのか」、また「バックアップを取ったデータを、障害時に迅速にリストアするにはどのように行えばいいのか」という課題は、多くのシステム管理者が共通に抱えているものである。システムのバックアップおよびリストアへの対処は、「特集：SAN導入実践テクニック（第2回）」でも説明したとおり、ユーザ
後で後悔しないための品質マネジメント
品質マネジメントで何を想像するか 前回（「第4回 コストマネジメントは、「時は金なり」でうまくいく」）は、コストマネジメントについて解説した。これに1点だけ補足しておきたい。コストマネジメントは、予算がそれほど逼迫（ひっぱく）していない（逼迫していることが表面化していない）場合は、おろそかになりがちなので注意する必要がある。 例えば、プロジェクト前半で少々の支出超過や進ちょくの遅れは、後半でばん回可能と考えていないだろうか。支出超過や進ちょくの遅れの原因が明らかになっており、具体的かつ合理的なばん回策があればよいが、根拠もなく何とかなると楽観的にとらえていたり、最後は根性で何とかするしかないと考えていると至極危険である。 これはコストだけでなく作業進ちょくにもいえるが、それまで遅れていたものが、翌週から急に計画どおりの支出スピードや作業進ちょくに戻るだろうか。さらにいえば遅れを取り戻すため
Oracleパフォーマンス障害の克服（3）Bツリーインデックスに最高のパフォーマンスを―@IT
Oracleデータベースの運用管理者は、突発的に直面するパフォーマンス障害にどうやって対処したらよいか。本連載は、非常に複雑なOracleのアーキテクチャに頭を悩ます管理者に向け、短時間で問題を切り分け、対処法を見つけるノウハウを紹介する。対象とするバージョンはOracle8から9iまでを基本とし、10gの情報は随時加えていく。（編集局） SQL処理（インデックス）にかかわる確認 前回「ロックをつぶせ！最初に疑うべき原因」では、SQLにかかわる問題の解決方法としてロックの確認方法を説明しました。データ更新には必ずオブジェクトの処理が行われていることを理解できたと思います。 SQL文をきっかけに更新されるOracleサーバ内のオブジェクトとして、今回はインデックスを取り上げます。SQL文発行時、直接データとのかかわりを意識しづらいオブジェクトなので、データの更新頻度やインデックスの作り方によ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「SQLの IS NULL , IS NOT NULLの歴史的経緯？」（1） ＠ITクラブ Cafe － ＠IT
＠IT自分戦略研究所
セキュリティ用語事典