Gmailの新スパム規制対応全部書く
[2024年1月10日、19日追記] GmailとYahoo!側のアップデートに合わせていくつか細かい説明を追加しています（大筋は変わっていません）。変更点だけ知りたい方は「追記」でページ内検索してください。 2023年10月3日、Googleはスパム対策強化のため、Gmailへ送るメールが満たすべき条件を2024年2月から厳しくすると発表しました。また米国Yahoo!も、2024年2月 第一四半期[1] から同様の対策を行うと発表しています。端的に言えば、この条件を満たさないと宛先にメールが届かなくなるという影響の大きな変更です。 この記事では、Gmailや米国Yahoo!の規制強化への対応方法を解説します。ただし米国Yahoo!にメールを送る人は多くないと思うので、フォーカスはGmail寄りです。また、メール配信サービス（海外だとSendGridやAmazon SES、国産だとblas
突貫でおぼえるSPF、DKIM、DMARC | DevelopersIO
しばたです。 昨年10月にGoogle(Gmail)および米国Yahoo!においてスパム対策の強化がアナウンスされました。 この件に関してつい先日まで他人事でいたのですが、実は全然他人事では済まないことが発覚し突貫で知識を仕入れています。 アナウンスに対する具体的な対応策についてはこちらのZennの記事を見れば全部わかる感じです。 最高ですね。 また、メール送信にAmazon SESを使っている場合はAWSのブログを確認すると良いでしょう。 「これらの記事を読み解けば万事解決！」という感じではあるのですが、私自身が学んだなかで予め知っておくと良さそうに思えた点がいくつかありました。 本記事ではその辺を共有するのと、実際にAmazon SESの環境を作って動作確認をしたのでその結果も合わせて共有します。 はじめに覚えておくと良い基礎知識 Zennの記事でも詳細な解説がありますが、個人的に「最
「どうカーソルを動かしたか」「どこをクリックしたか」「どの部分をスクロールして読み飛ばしたか」などのアクセス情報を全て入手し解析・分析できるオープンソースのアプリ「highlight.io」を使ってみた
ウェブアプリの開発をする時、ユーザーに「どこが分かりにくかったか」や「どこでエラーが発生したのか」などの情報をフィードバックしてもらいたいものですが、そうしたフィードバックを送る作業はなかなかに面倒なもので、全然直接のフィードバックは来ないのにTwitterにはいろんな意見が書かれている……ということはよくあります。「highlight.io」はそうしたフィードバックを勝手にやってくれるツールということで、実際に使って試してみました。 highlight.io: The open source monitoring platform. https://www.highlight.io/ highlight.ioはオープンソースということでセルフホスト版が用意されていますが、今回はどんな機能があるのかについて確かめるためhighlight.ioの開発元が提供するSaaSを利用します。公式サイ
サイバーセキュリティに対して日本の経営層は、勉強不足と自己弁護に終始。基本セキュリティ用語すら知らず【Kaspersky調べ】 | Web担当者Forum
セキュリティへの対応、日本の経営層の勉強不足と自己弁護が目立つこの調査では、「フィッシング」「ランサムウェア」「マルウェア」「トロイの木馬」「DDoS」「ゼロデイエクスプロイト（ゼロデイ攻撃）」「バックドア」「クリプトマイナー」「スパイウェア」「ボットネット」「APT（持続的標的型攻撃）」「ソーシャルエンジニアリング」「DevSecOps」「ゼロトラスト」「SOC」「情報セキュリティポリシー」「侵入テスト」「脆弱性管理」「セキュリティ管理」「サイバーセキュリティアセスメント」「脅威インテリジェンス」「インシデントレスポンス」といった、サイバーセキュリティに関する基本用語の認知を質問している。 その結果、ワールドワイドで全体の10人に1人ほどが「ボットネット」「APT」「ゼロデイエクスプロイト」「DevSecOps」「ゼロトラスト」「SOC」「侵入テスト」などのサイバーセキュリティ関連用語に
暗号アルゴリズム「SHA-1」の廃止を発表、NIST
米国国立標準技術研究所(NIST: National Institute of Standards and Technology)は12月15日(米国時間)、「NIST Retires SHA-1 Cryptographic Algorithm｜NIST」において、暗号アルゴリズム「SHA-1」を廃止すると伝えた。SHA-1の暗号ハッシュ関数はすでに脆弱と評価されており米国政府機関での利用廃止が発表されている。 電子情報を保護するために初期に広く使われた手法の一つであるSHA-1アルゴリズムは、耐用年数が終了しているとして廃止が決定されている。SHA-1がまだ使用されているという現状から、より安全性の高い新しいアルゴリズムに置き換えることが推奨されている。 SHA-1という名称は「Secure Hash Algorithm」の頭文字からきており、1995年から連邦情報処理規格(FIPS:
Pythonの15年間見過ごされてきた脆弱性が30万件以上のオープンソースリポジトリに影響を与える可能性
プログラミング言語のPythonで、2007年に存在が公開されたものの修正されなかったバグが再発見されました。任意コード実行可能な脆弱性にもつながるこのバグの影響は、コーディング自動化ツールを介してさまざまなプロジェクトに広まっており、修正するべきオープンソースリポジトリが35万件以上にも及ぶと指摘されています。 Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trell
GIF画像にPython仕込む新たな攻撃「GIFShell」に注意、Microsoft Teamsが標的
GIF画像にPython仕込む新たな攻撃「GIFShell」に注意、Microsoft Teamsが標的 eSecurity Planetは9月12日(米国時間)、「New GIFShell Attack Targets Microsoft Teams｜eSecurityPlanet」において、GIF画像を悪用してMicrosoft Teamsのターゲットのマシン上で任意のコマンドを実行する、新たな攻撃チェーンが発見されたと伝えた。これは、セキュリティ専門家であるBobby Rauch氏によって発見されたサイバー攻撃で、「GIFShell」と名付けられている。 GIFShellの主なコンポーネントは、隠されたPythonスクリプトを含むGIF画像とされている。細工された画像は、リバースシェルを作成するためにMicrosoft Teamsのユーザーに送信されるという。マイクロソフトの正規のイ
二要素認証を回避するツールキット「EvilProxy」ダークWebで販売中
Resecurityは9月5日(米国時間)、「Resecurity - EvilProxy Phishing-as-a-Service with MFA Bypass Emerged in Dark Web」において、二要素認証(2FA: Two-Factor Authentication)を回避する新たなフィッシング・アズ・ア・サービス(PhaaS: Phishing-as-a-Service)が登場したと伝えた。 「EvilProxy」と呼ばれる新たなツールキットが、多くのオンラインサービスで採用されている二要素認証による保護を回避する手段として、サイバー犯罪者のダークWeb市場で宣伝されていることが判明した。Resecurityの調査によって、リバースプロキシとクッキーインジェクションを使用して二要素認証を回避し、被害者のセッションをプロキシングするツールキットであることが明らかとな
脆弱性対策の切り札になるかもしれない「SBOM」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 本連載「企業セキュリティの歩き方」では、セキュリティ業界を取り巻く現状や課題、問題点をひもときながら、サイバーセキュリティを向上させていくための視点やヒントを提示する。 これまで脆弱性に関するさまざまな背景や対応の難しさ、ソフトウェアサプライチェーンがリスクをもたらすことなどについて述べた。 脆弱性情報の公開は、幾重にも講じたセキュリティ対策の努力を一瞬で無にし、非常に大きなインパクトを与える。現代のシステムは、パーツやコンポーネントなどを組み合わせた複雑な構造になっており、場合によっては、ブラックボックスのようになっていることから、もはや管理したくても管理できない状況であり、それが脆弱性の対応の遅れや放置につながっている。 特にオープ
サイバー攻撃に備えろ！中小企業でもできること | NHK | ビジネス特集
日々、巧妙化しているサイバー攻撃。ことし3月にはトヨタ自動車の国内全工場が一時ストップ。ねらわれたのは取引先の部品メーカーでした。サプライチェーンの弱点＝中小企業が攻撃される事例が増えています。しかし、小さな企業ほど資金に余裕はありません。備える方法ってあるんですか？それが…あるんです。（経済部記者 谷川浩太朗） 5月のある日。都内のビルの一室に集まっているのは大手電機メーカーや電力会社のシステム担当者です。 行われていたのはサイバー攻撃を想定した訓練です。 ハッカー役の講師がシステムを乗っ取ろうと受講生に次々とサイバー攻撃をしかけます。取引先を装ったメールを社員が開いてウイルスに感染してしまったり、遠隔操作で社内のメールサービスを止められてしまったり…。 典型的な攻撃パターンを体験しながら、怪しい通信をどうやって特定し、いかに早く社内ネットワークから遮断するか、対策のノウハウを学びます。
OpenSSLに脆弱性、アップデートを
JPCERTコーディネーションセンター（JPCERT/CC: Japan Computer Emergency Response Team Coordination Center）は5月6日、「JVNVU#93032579: OpenSSLに複数の脆弱性」において、OpenSSLに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、攻撃者によって任意コマンドの実行やサービス運用妨害(DoS: Denial of Service)を引き起こされる可能性があるとされており注意が必要。 脆弱性に関する情報は次のページにまとまっている。 OpenSSL Security Advisory [03 May 2022] OpenSSL Security Advisory [03 May 2022] 脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。 OpenSSL 1.0.2ze
ランサムウエアにバックアップまで暗号化されたらもうお手上げ、3-2-1ルールで防げ
ランサムウエア（身代金要求型ウイルス）攻撃に遭ってデータを暗号化されたら、復号しようと格闘するよりもバックアップから戻したほうが早い――。 ランサムウエア「WannaCry（ワナクライ）」が2017年に世界規模で猛威を振るった後、このようなノウハウがいっとき広まった。確かに2018年ごろまでのランサムウエア攻撃に対しては、バックアップデータさえ適切に保有していれば事業が止まるほどの深刻な事態には陥らずに済むケースが多かった。 ところが最近はバックアップを取っていたにもかかわらず、なかなか復旧できず事業に支障を来す企業が散見される。ランサムウエアを使う犯罪者がバックアップデータまで暗号化するように手口を悪質化させたためだ。 製粉大手ニップンが2021年7月に受けたサイバー被害が記憶に新しい。同社はランサムウエアとは明言していないが、サイバー攻撃によって財務管理や販売管理などの基幹システムのデ
.NET Framework 4.5.2 ～ 4.6.1がサポート終了目前。Microsoftがアナウンス | ニッチなPCゲーマーの環境構築Z
Microsoftは、まもなく.NET Framework 4.5.2 / 4.6 / 4.6.1のサポートが終了することをアナウンスしました。 SHA-1の廃止に伴って、.NET Framework 4.5.2 / 4.6 / 4.6.1は2022年4月26日(現地時間)にサポート終了となり、この日以降、これらのバージョンのセキュリティアップデートとテクニカルサポートの提供が終了します。 .NET Framework 4.5.2 / 4.6 / 4.6.1のランタイムを使用している場合、今後もセキュリティアップデートやテクニカルサポートを継続して受けるには.NET Framework 4.6.2以降にアップデートする必要があります。 .NET Framework 4.6.2以降のバージョンは、下位バージョンと互換性があるため、.NET Framework 4.5.2 / 4.6 / 4.
2038年問題を再発させるコードが多数の場所にコピーされてしまっている
2038年問題はUNIX時間のオーバーフローに伴ってプログラムが誤動作するというものですが、既にほとんどのプログラムで解決済みとされています。しかし、ゲーム開発エンジニアのエイドリアンさんがMicrosoftのドキュメント上に2038年問題を引き起こすコードが掲載されているのを発見。そのコードをコピーしたプログラムでは2038年問題が発生してしまうと警告を行っています。 Year 2038 problem is still alive and well | Silent’s Blog https://cookieplmonster.github.io/2022/02/17/year-2038-problem/ UNIX系のOSでは時刻情報を扱う際に1970年1月1日0時0分からの経過秒数として表される「UNIX時間」を利用しています。かつて、UNIX時間はシステム内部において符号付き32ビ
デンソーを襲ったランサムウェア攻撃グループ「Pandra」の正体とは？
デンソーは3月14日、ドイツのグループ会社のネットワークが3月10日に不正アクセスを受けたことを確認したと発表した。その後、ダークウェブの犯罪情報会社であるDarkTracerはTwitterにおいて、攻撃グループ「Pandra」がダークウェブで同社から機密情報を盗んだことを表明したことを示すスクリーンショットを公開した。 攻撃グループによると、盗んだデータには発注書、電子メール、機密保持契約、設計書などが含まれており、1.4テラバイト分に相当する15万7,000以上のファイルを3月16日に公開すると脅迫しているという。 攻撃者グループ「Pandra」はダークウェブでデンソーを攻撃したと表明 引用：DarkTracer Pandraが用いるランサムウェアとはどのような脅威を持っているのだろうか。BleepinComputer.comによると、Pandraランサムウェアは今年3月に存在を確認
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft製品に緊急の脆弱性、ただちに累積更新プログラムの適用を - 記事詳細｜Infoseekニュース
トヨタ関連６万社のうち、１社のセキュリティー破られ…「賭けはできない」全工場停止
WindowsやDell、Trend Micro製品のサイバー攻撃での活発な悪用を確認、更新を - 記事詳細｜Infoseekニュース
ランサムウェア、全ファイルを暗号化するまで何分かかる？ 10種を試した結果が話題に【やじうまWatch】
機密情報をクラウドストレージで保存する時のセキュリティ対策5つ | ライフハッカー・ジャパン
