組織における内部不正防止ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
組織内部者の不正による顧客情報や製品情報などの漏えいは事業の根幹を揺るがすインシデントであり、内部不正が発生するリスクの把握や効果的な対策の検討は、組織にとって喫緊の課題です。IPAでは、このような背景から、企業やその他の組織において必要な内部不正対策を効果的に実施可能とすることを目的として2013年に「組織における内部不正防止ガイドライン」を作成し、2022年4月に改訂版第5版を公開しました。 本ガイドラインは、内部不正防止の重要性や対策の体制、関連する法律などの概要を平易な文体で説明しており、「基本方針」「資産管理」「技術的管理」「職場環境」「事後対策」等の10の観点のもと、合計33項目からなる具体的な対策を示しています。 各対策項目では、「対策の指針」を冒頭に記し、対策しない場合のリスクと、具体的な対策のポイントを整理する構成としています。さらに、内部不正の事例のほか、自組織の内部不
iPhoneの重要コードを漏らしたのはApple従業員だった - iPhone Mania
先日、iPhoneの起動に関わるiBootのソースコードがGitHub上で公開され、騒ぎになりましたが、流出させたのはAppleの従業員だったことが、Motherboardの調べで明らかになりました。 問題の発端はAppleの従業員 「悪用されれば脅威になる」として流出問題に関心が集まりましたが、Appleが「iOS9のソースコードで3年前の古いものであり、セキュリティ上の影響はほとんどない」と発表すると同時に、GiHubからも削除されたため、騒ぎは収束に向かいつつあります。 しかし今回の問題はどのようにして起きたのでしょうか。 Motherboardが調べたところ、2016年当時Appleのクパチーノ本社で働いていた従業員が、友人たちにそそのかされてiBootのソースコードを持ち出したのが発端だったことがわかりました。 5人だけの秘密のはずだったが… 友人らは脱獄コミュニティに属しており
エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
target="_blank" のセキュリティリスク(デモ動画あり)
HTMLを勉強する際に最初に覚えるものの1つにa要素(タグ)があります。HTMLのアイデンティティと言っても過言ではない、ハイパーリンクを実現する大事な要素です。 href属性に設定されたリンク先のURLをどのウィンドウ等に表示するかを決めるtarget属性というものがあります。任意の値を設定してウィンドウに名前を付ける事で、複数のa要素から同じウィンドウへリンク先URLを表示する事もできますし、常に新しいウィンドウを開く_blankのような、あらかじめ挙動が設定されている値もあります。 target="_blank" のセキュリティリスク リンクの開き方を決定するtarget要素ですが、この挙動を利用してリンク先からリンク元のウィンドウを操作できるというセキュリティリスクが公開されています。 Target="_blank" - the most underestimated vulner
セキュリティ「あるある」実態調査第2弾
セキュリティにまつわる「あるある」な話 それって、どのくらいの確率で存在するんだろう？ でも、そんなことの統計情報って見たことないですよね。 それを、OWASP DAY in TOKYO 2017 Spring に集まった皆さんの挙手で数値化した資料です。
ドキッ★脆弱性 onCreate() から onDestroy() まで
■対象者 初心者〜上級者。 Androidアプリで実際に公開された脆弱性について興味のある方。 脆弱性はバグです。バグは必ず産まれるものです。例えセキュアコーディングガイドを隅から隅まで暗証してたとて、予期せず脆弱な実装は世にでるでしょう。本発表ではJVN49343562とJVN61297210が付与されたAndroidアプリ「マネーフォワード」の「WebView クラスに関する脆弱性」「任意の操作が実⾏可能な脆弱性」について、下記のアジェンダ(仮)でご紹介いたします。 - 脆弱性対応タイムライン - 脆弱な実装の紹介 - 脆弱な実装の修正 - 脆弱な実装の背景 - 俺たちはどう脆弱性に向き合っていくのか こういたノットベスト・プラクティスを共有することで、世の中のアプリの品質がより高くなることを願っています。又、一歩踏み込んでこういったバグをも知見としてオープンに共有できる文化作りに一端
TouchIDのセキュリティを考える
いまやiPhoneを筆頭として当たり前の技術となった指紋認証システムですが、その手軽さとは裏腹にセキュリティに問題があるということが言われ続けています。 指紋のように変更できないものを鍵として用いるのは間違っているという人もいます。 しかしセキュリティは利便性とのバランスで考えるべきで、リスクに対してどういう対策をとるか、まずどこに重きを置くかということを理解しておくべきでしょう。 現実に起きている問題 スマホに指紋認証が搭載された直後から言われている話ですが、寝ている間に家族や恋人によって勝手に指が使われてロック解除されてしまうという問題。先日も6歳の子供が寝ている親の指を使って勝手に通販してしまったということで大きな話題になりました。 寝ている親の指で指紋ロック解除、6歳児がポケモン商品を大量購入 – CNET Japan これは基本的にどうしようもありません。 鍵と金庫の両方に自由に
ハッシュと暗号は違うぞ！ / Do not confuse hashes and ciphers.
PHP勉強会#110での発表資料です。
オンプレ企業がクラウドを使うときのセキュリティポイントを聞かれた | ロードバランスすだちくん
シンジです。タイトルの質問はよく聞かれます。質問そのものが漠然としているので、毎回順を追って説明するのですが、この説明をしなくてもよくなる時代はまだ来なさそうな感じです。 おそらくこういう事情がある どうすればクラウドを安全に使えるのか、という質問の背景には、クラウドを使いたいというモチベーションはあるが、よく分からないので不安を感じている、ということに尽きる。そもそもセキュリティ専門部隊が、対象のクラウドサービスを厳密に調べ上げることができているのであれば、この質問自体が成り立たない。実際問題として、世の中には良いクラウドと悪いクラウドは存在しているし、どの視点でもって善し悪しを判断するかは立ち位置によってかなり変わる。 若い世代、クラウドネイティブなエンジニア達は、もはやオンプレミスの技術を理解していない。RJ-45がギリギリで、SFP+はアウトだ。クラウドが安全かどうかなど意識して使
機械学習モデルに対する攻撃手法 -Equation-Solving Attacks- | MBSD Blog
2017.01.17 プロフェッショナルサービス事業部 高江洲 勲 この1～2年の間に機械学習を使用したサービスやプロダクトが数多くリリースされています。それと同時に、機械学習モデルに対する攻撃手法も多く発表されています[1] [2] [3]。 本ブログでは、EPFLのFlorian氏らが発表した論文「Stealing Machine Learning Models via Prediction APIs」から「Model Extraction Attacks」と呼ばれる機械学習モデルに対する攻撃手法の一例を紹介します。 Model Extraction Attacks 「Model Extraction Attacks」とは、機械学習サービス(ML Service)に対する入力値と、それに対応する出力値を基に、ML Serviceで使用しているMLモデル(Logistic Regress
AWSのMFAを解除するためにアメリカ大使館に足を運んだ話 - Qiita
Help us understand the problem. What is going on with this article? TL;DR AWSの二段階認証（Multi-Factor Authentication）を利用しているとき、認証端末を無くすとAWSのサポートが必要になる 電話番号での認証ができない場合には本人確認書類を提出して二段階認証を解除する必要がある 本人確認書類には公証人のサインが必要で、アメリカ大使館でサインをしてもらうことができる AWSアカウントにはMFAを設定しよう、というプラクティス AWSを利用しているアカウントが不正利用され、高額な請求を受けてしまうケースが話題となり、個人であってもルートアカウントでMFAを設定することが当たり前な世の中になりました。 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita
CSRFトークン インタビューズ - Qiita
VAddyとCSRFトークン VAddyは脆弱性診断を実行する際に、CSRFトークンを最新のものに更新しながら動作します。そのため「どのパラメータがCSRFトークンか？」を判断するロジックが存在しています。最近あるフレームワーク（後述）について「CSRFトークンを正しく認識できない」というバグを修正したのですが、良い機会なのでメジャーなフレームワークやCMSを中心にCSRFトークンの実装をざっと追ってみました。一覧にしても面白くないので、仮想インタビュー形式にまとめてあります。GitHub上で軽く追ったものが多いので、最新のバージョンでなかったり、解釈が間違っている箇所があるかもしれません。 それでは、どうぞ。 Ruby on Rails 金床(以下、金)「こんにちは。ようこそ。」 RoR「こんにちは」 金「相変わらずシェア高いようですね。」 RoR「はい、おかげさまで。この間はルマン24
LINEの脆弱性診断を新卒エンジニアも担当！──LINEセキュリティ室の熱い「師弟関係」 - エンジニアHub｜Webエンジニアのキャリアを考える！
LINEの脆弱性診断を新卒エンジニアも担当！──LINEセキュリティ室の熱い「師弟関係」 巨大メッセージングアプリ「LINE」のセキュリティ室にも、新卒エンジニアは配属されます。若手をカンファレンスに送り出すLINEの「師弟関係」に迫りました。 若手エンジニアのための情報メディア「エンジニアHub」。連載「若手エンジニア、どんな活躍してますか？」第3回はLINE編です。巨大メッセージングアプリのセキュリティを担当する部署で、若手エンジニアはどんな活躍をしているのでしょうか？ ── 第3回はご存じ「LINE」などのアプリを運営するLINEさんのオフィスにやってきました。開発側だったメルカリ編、GMOペパボ編とは目線を変えて、今回はセキュリティを担当している若手エンジニアとメンターにお話を伺います。 万 セキュリティ室でセキュリティエンジニアとして働いている、万萌遠です。2016年春に日本の大
Dockerコンテナを本番環境で使うためのセキュリティ設定 - Qiita
はじめに Dockerを開発環境で使うことが多くなってきてますね。 使い捨てできる環境は本当に便利なので、本番環境にも使いたいなーと思って、本番運用で注意すべきセキュリティ周りを調べてみました。 基本的な考え方 基本的な考え方は以下になります。 コンテナ内部に入られるな 権限は最小限にせよ 監視を怠るな DockerといえどVPSやオンプレのセキュリティ設定と考え方は同じですね。 ここではDockerにまつわる話を書いていきます。 コンテナ内部に入られるな 信頼できるイメージを使う 多くの場合、ベースとなるピュアなOSイメージはDockerHub上のイメージを使いますが、元となるイメージがセキュアであるかどうかを確認して使うようにしましょう。 既知の脆弱性を含んでいる場合や、最悪の場合、悪意のあるスクリプトが仕込まれている場合があります。 既知の脆弱性が含まれているかどうかはDocker
セキュリティ会の取り組み - Hatena Developer Blog
この記事は、はてなエンジニアアドベントカレンダー2016の3日目の記事です。昨日は id:nanto_vi による CSS の -webkit-line-clamp プロパティについて: Days on the Moon でした。 こんにちは、はてなでチーフエンジニアをしている id:wtatsuru です。この記事では、はてな技術グループのサブ会の一つ、セキュリティ会について紹介します。サブ会を始めとするはてな技術グループの取り組み全体については、先日の id:motemen の記事で詳しく紹介しております。 はてなの技術組織2016 - Hatena Developer Blog セキュリティ会とは セキュリティ会とは、セキュリティインシデントを防ぐことを目的とする技術グループのサブ会です。各分野からメンバを集め、セキュリティ情報への素早い対応および社内のセキュリティ意識向上を目的とし
実例に学ぶXSS脆弱性の発見と修正方法/line_dm 16 20160916 how to find and fix xss
LINE Developer Meetup in Fukuoka #16 http://connpass.com/event/38413/
Vulsで危険な脆弱性を最速検知！(The fastest detection of dangerous vulnerability by Vuls! )
Vulsで危険な脆弱性を最速検知！(The fastest detection of dangerous vulnerability by Vuls! )
Android 7.0 が発表されたわけだが
With more ways to make Android your own, Android Nougat is our sweetest release yet. Android 7.0 が発表されて、報道も多い。前職での端末開発は Android 5.0 ぐらいまで、Android 6.0 は調査しかしてないし、最新の 7.0系となるともうNDAベースの情報が入る立場でもないし、オープンソースのAOSPも目を皿のようにして追う時間は再就職活動の中ではないので表面的な発表を眺めているだけだけど。 ただ、もうこの領域は、日本はもうだめなんだろうな。開発だけじゃなくて、利用の面でも暗くなっていく。先日のポケモンGOリリースで、「ポケモンGOが動かない」ということで、Android端末の買い替えがそこら中で発生していた。ポケモンGOのAndroid版でのバージョン要件は Android 4
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
情報セキュリティ10大脅威 2018年版 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
Webアプリケーションにおけるパスワードの管理について
