令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io
Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp
総務省｜報道資料｜LINEヤフー株式会社に対する通信の秘密の保護及び サイバーセキュリティの確保の徹底に向けた措置（指導）
総務省は、LINEヤフー株式会社（代表取締役社長CEO 出澤 剛）に対し令和6年3月5日付けで行政指導を実施し、同年4月1日、同社から再発防止等に向けた取組に関する報告書の提出を受けました。同報告書を踏まえ、総務省は、同行政指導において求めた措置の早期実施等を求めるとともに、その実施状況や実施計画を報告するよう、本日、文書による行政指導を行いました。 総務省は、LINEヤフー株式会社（代表取締役社長CEO 出澤 剛、法人番号 4010401039979、本社 東京都千代田区。以下「LINEヤフー社」という。）に対し、令和6年3月5日付けの「通信の秘密の保護及びサイバーセキュリティの確保の徹底について（指導）」（総基用第46号）による行政指導を実施し、同年4月1日、同社から再発防止等に向けた取組に関する報告書の提出を受けました。 同報告書によれば、一定の応急的な対策については実施済みとのこと
｢クラウド設定ミス｣で情報漏洩が続発する根因
コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕
広く使用されている「xz」にssh接続を突破するバックドアが仕込まれていた事が判明。重大度はクリティカルでLinuxのほかmacOSにも影響 | ソフトアンテナ
Red HatやDebianを含むLinuxディストリビューションで広く使用されている圧縮ツール「xz」の最新版に悪意のあるバックドアが含まれていた事がわかりました(Ars Technica)。 発見した開発者のAndres Freund氏は、xz version 5.6.0と5.6.1に悪意のあるコードが含まれていることが分かったと指摘しています。幸い、このバージョンは主要なLinuxディストリビューションの製品リリースでは使用されていませんが、Fedora 40やFedora Rawhide、Debian testing/unstable/experimentalなどのベータ版リリースには含まれていたそうです。 macOSのHomebrewでは、複数のアプリがxz 5.6.1に依存している事が判明し、現在xz 5.4.6へのロールバックが行われています。 悪意のある変更は難読化され、バ
サイバーセキュリティの優先度が低い日本の経営層 「クラウド移行」の課題は？
多くの経営者が重要性を認識しているにもかかわらず、ほとんどの企業が十分に対策をできていないサイバーセキュリティ。 サイバーセキュリティの事件や被害は年々増え、高い水準で推移している一方、特に中小企業での対策があまり進んでいない。その背景には、十分な対策を講じていない経営層の存在がある。 なぜ企業が今、サイバーセキュリティ対策をする必要があるのか。「世界中の人々が安心安全に使えるサイバー空間を創造する」という理念を掲げるサイバーセキュリティクラウドの小池敏弘社長兼CEOに、安全なサイバー空間をいかにして創出していくかを聞いた。 サイバー系の被害は高い水準で推移 サイバーセキュリティの事件は、どのくらい増えているのか。金融庁と警察庁が2020年12月に発表した「フィッシングによるものとみられるインターネットバンキングに係る現金の不正送金被害が急増について（注意喚起）」によると、同年12月8日時
NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？
HOME NRIセキュア ブログ NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？ 2024年2月26日、NIST（米国立標準技術研究所）は、「NIST サイバーセキュリティフレームワーク（NIST Cybersecurity Framework：NIST CSF）」のバージョン2.0を正式に公開した。2014年4月に初版であるNIST CSF 1.0が公表されて以来、約10年ぶりの大幅改訂である。 本記事では、NIST CSF 2.0における主な改訂のポイントと、特にインパクトの大きい6つ目の新機能「GV（統治）」について解説する。 ▶「経営層が納得するセキュリティ報告」を読む はじめに 2020年代に入り、新たな生活様式の変化に起因する脅威の発生、世界各国での深刻かつ大規模なサイバー攻撃の急増、生成AIなど新技術の普及に伴うリス
犯罪に利用できる生成ＡＩ、ネットに複数公開…ランサムウェア・爆発物の作り方など回答
【読売新聞】 コンピューターウイルスや詐欺メール、爆発物の作成など犯罪に悪用できる情報を無制限に回答する生成ＡＩ（人工知能）がインターネット上に複数公開されている。既存の生成ＡＩに、不正行為に関わる情報を学習させたものとみられる。誰
「2024年も始まったしそろそろマルウェアの勉強を始めるか」と思っている人向けのマルウェア解析ツール入門話 - 切られたしっぽ
追記と修正 2024/01/09: FOR710 についてはプロ視点で賛否両論あったので表現を変えました 2024/01/09: FLARE-VM の構築部分でも書きましたが、解析環境と普段生活する環境は分離しましょう。VMWare or VirtualBox を使ってください。普段使いの環境にここで述べた解析ツールをいきなりインストールするとAnti-Virusに検知される可能性もあります。 TL;DR 将来的にベンダーレポートやカンファレンス発表レベルでの"マルウェア解析"を想定した話です とりあえず FLARE-VM 環境を作ってインストールされたツールを見る・触るところから始めるといいんじゃないでしょうか TL;DR はじめに "マルウェア解析" のスコープと前提知識の明確化 ツールの選択元(プール) : FLARE-VM FLARE-VM に入っている中でもよく使うツール PES
Black Hat USA 2023 注目発表 2 ～ AI とサイバーセキュリティの発表紹介 - FFRIエンジニアブログ
はじめに こんにちは。基礎技術研究部の茂木です。 今年の夏は例年以上に暑かったですね。暑いと言えば、昨年 ChatGPT[1]が OpenAI によって公開されてから AI 周りが熱くなっています。公開当時も凄いと思いましたが、それでもここまで大規模な社会現象になるとは想像できませんでした。 さて、そんな生成 AI*1を含む AI は、様々な領域へ応用が広まっています。そして当然というべきか、(サイバー)セキュリティへの応用も始まっています。 大きな応用事例として、メガクラウドが生成 AI をセキュリティに応用したサービスを展開したことが挙げられます。Google Cloud は、セキュリティに特化した大規模言語モデル(Large Language Model、以下 LLM)である Sec-PaLM 2 を用いた Google Cloud Security AI Workbench を公開
OpenAIにDDoS攻撃で断続的な停止（復旧済み）
OpenAIのChatGPTやAPIのサービスが11月8日正午ごろ（米国時間）から断続的に停止していた。既に復旧しているが、OpenAIはDDoS攻撃を受けていたと発表した。 米OpenAIのサービス（ChatGPT、API、Labs、Playground）が11月8日正午ごろ（現地時間）から断続的に停止し、同社は同日午後7時過ぎに「DDoS攻撃を反映した異常なトラフィックパターンによる定期的な停止に対処している」とステータスページで発表した。9日の午後1時過ぎ（日本時間の10日午前6時過ぎ）にはサービスは復旧したとしている。 OpenAIでは、6日にはDALL・Eのエラー率が上昇し、8日にはAPIをダウンさせるChatGPTの大規模な障害も発生していた。 OpenAIはDDoS攻撃の詳細を明らかにしていないが、Anonymous Sudanとして知られる攻撃者がTelegramでOpen
WordPressに新たな管理者アカウントを作成してサイトを乗っ取るマルウェアが出現
WordPress向けセキュリティプラグイン・Wordfenceを開発しているDefiantが、本物のWordPressプラグインを装いつつさまざまなタスクを実行できる、高度なバックドアとして機能するマルウェアの存在を明らかにしています。 Backdoor Masquerading as Legitimate Plugin https://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/ New WordPress backdoor creates rogue admin to hijack websites https://www.bleepingcomputer.com/news/security/new-wordpress-backdoor-creates-rogue-admin-to
Google、Cloudflare、Amazon、 HTTP/2悪用の史上最大規模DDoS攻撃について説明
現在、Webアプリの約60％がHTTP/2を採用しているという。 新たな攻撃は、何十万ものリクエストを作成し、すぐにキャンセルすることで機能するとCloudflareは説明した。リクエスト／キャンセルのパターンを大規模に自動化することでWebサイトを停止に追い込む。 3社は、HTTP/2を採用するプロバイダーに対し、可能な限り早くセキュリティパッチを適用するよう呼びかけた。 クライアントによるこの攻撃への最善策は、利用可能なすべてのHTTPフラッド保護ツールを使用し、多面的な緩和策でDDoS耐性を強化することだとしている。 Cloudflareは、8月の攻撃について今報告するのは、「可能な限り多数のセキュリティベンダーに対応の機会を与えるため、情報を制限してきた」と説明した。 HTTP/2 Rapid Reset Attackの詳しい説明などは、以下の「関連リンク」の各社の公式ブログを参照
ランサムウェアを含まない信頼できるThunderbirdのダウンロード方法をWindows・macOS・Linux向けにMozillaが解説
近年マルウェアをダウンロードさせる攻撃者の手口は巧妙を極めており、信頼性の高い無料ソフトウェアだと思ってダウンロードしたところ、実はダウンロードしたサイトごと偽物だったというケースが報告されています。ウェブブラウザのFirefoxを開発するMozillaが、メーラーのThunderbirdを安心安全にインストールするための方法を提示しています。 Are You Using A Trusted Version Of Thunderbird? https://blog.thunderbird.net/2023/10/ransomware-alert-are-you-using-a-trusted-version-of-thunderbird/ 通常のオンライン広告に見せかけてユーザーをマルウェア拡散用の不正なウェブサイトに誘導する広告は「マルバタイジング」と呼ばれます。セキュリティアナリストの
APIはインターネットトラフィックの83%を占める ー APIのセキュリティリスクについての試算が公開
7月28日、APIインフラストラクチャは使命上重要であることを強調する発表を行いました。 APIはあらゆる産業を革新し、デジタルトランスフォーメーションを推進し、グローバルなインターネットトラフィックの83％以上を占めています。 しかし、APIはセキュリティ上の課題を抱えており、サイバー攻撃の標的になっています。 この記事では、API関連のセキュリティインシデントの増加とコストの上昇、およびAPIが使命上重要なインフラストラクチャである理由について説明します。 詳細は以下の通りです。 7月27日、API管理とマイクロサービスAPIゲートウェイを提供する企業Kong（コング）が、APIのインフラストラクチャがますますミッションクリティカルであると指摘する発表を行いました。APIは世界のあらゆる産業に革命をもたらし、デジタルトランスフォーメーションを推進する上で不可欠な要素であり、全世界のイン
「セキュリティ」を気にしなくて良くなる世の中になってほしい 〜MIXIエンジニアが語る技術愛〜
MIXIには、探究心溢れるエンジニアがたくさん在籍しています。その探究心は業務で扱う技術に留まらず、趣味で書いているプログラムだったり、個人的に研究している言語だったりと、自身の気になった技術への追求も留まることを知りません。今回は、『セキュリティ』をテーマに、開発本部セキュリティ室セキュリティエンジニアの野村が語ります！ 野村 敬太 2022年MIXI入社。セキュリティ室にてセキュリティエンジニアとしてMIXIのセキュリティ全般に携わる。趣味はソフトウェアの開発や運用、サバイバルゲーム、コーヒー。 SECCONの運営からMIXIへ ──セキュリティに関わるきっかけについて教えてください 以前SECCON運営のインタビューでも取り上げたのですが、友人の開発していたTwitterアプリについてセキュリティ的な視点で議論したことがあります。すごく良いアプリでも、脆弱性によってユーザーが一気に離
「ChatGPT」の名称を悪用したマルウェアが出現--「Chrome」拡張機能を装う
「ChatGPT」は、基本的にユーザーのどのような質問にも会話形式で答えられるとあって、今最もホットな話題の1つだ。それだけに、詐欺師が自分の利益のために悪用しようとするのは、時間の問題だった。すでにそうした事例が発生しているようだ。 The Hacker Newsによると、ChatGPTをかたる「Chrome」拡張機能が「Chromeウェブストア」に公開され、インストールしたユーザーが被害に遭ったという。 この拡張機能「Quick access to Chat GPT」は、名前のとおり、ChatGPTへの連携機能を提供するという触れ込みだ。ところがこれは、「Facebook」アカウントを乗っ取る機能も備えていた。 Facebook上で宣伝されていたこの拡張機能は、ユーザーがクリックしてインストールすると、クッキーやFacebookアカウントのデータを収集する。アカウントを乗っ取ると、この
画像生成AIの「高品質なプロンプト」を0.01秒で盗むサイバー攻撃 ドイツの研究機関が発表
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2 ドイツの研究機関CISPA Helmholtz Center for Information Securityに所属する研究者らが発表した論文「Prompt Stealing Attacks Against Text-to-Image Generation Models」は、テキストから画像を生成するモデルで生成した画像からテキストプロンプトを盗用する攻撃を提案した研究報告である。 Stable Diffusion、DALL-E 2、Midjourneyなどのテキストから画像を生成するモデルの登場以来、プロのアーティストに頼るのではなく、プロンプトと呼
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
米国 MITERの研究開発ネットワークが外国のサイバー攻撃者に侵入されていたようですね（私たちだって侵入を許してしまうくらいですから、みなさんも...） - まるちゃんの情報セキュリティ気まぐれ日記
世界経済フォーラム (WEF) サイバーセキュリティにとって人工知能は両刃の剣 (2023.10.27) - まるちゃんの情報セキュリティ気まぐれ日記
AI超解像で古いビデオがキレイに復元できる「VLC media player 3.0.19」が公開、ゼロデイ脆弱性の修正も／AV1ビデオのハードウェアデコーディングも有効化
