[B! database][security] hiromarkのブックマーク

postgresのデータを盗まれた話 - のんびりやの日記

はじめにさっぶ。どうも、だーやまんです。この記事は、本番環境でやらかしちゃった人 Advent Calendar 2019 - Qiitaの11日目の記事です。これは、中途半端な知識でサービスを運用していた結果、タイトル通りの大失敗をしてしまったお話です。個人開発での出来事なので、業務で起きたことかと胃薬を握られていた方はご安心ください。語るのもすごい恥ずかしいレベルですが、戒めのために晒しておきます。この記事を読んでほしい人初めてインターネット上にサービスを公開しようとしている人喋太郎の利用者様(この場をお借りして、改めてお詫び申し上げます。本当に申し訳ございませんでした。) 背景とか Discord読み上げBot 「喋太郎」にてやらかしました www.dayaman.work 利用者が約10万人さくらのVPSにてAppサーバ2台、DBサーバ1台で運用各サーバの死活監視

hiromark 2019/12/11

こわ

リンク

ポート開放してたらDB破壊され身代金を請求されかけた話 - 素人エンジニアの開発日記

CA Tech Dojo/Challenge/JOB Advent Calendar 2019 の5日目のエントリーです。この記事はツッコミどころ満載です。どうぞご自由にツッコんでくださいませ。大学院休学中の怠け野郎です。 mooriii.com 11/7~11/29にAbemaTVのフロントエンドでCA Tech JOBに参加しました。１ヶ月のインターン終わりました～！ほんと早すぎた…そしてたくさんアベマくんグッズをもらった😂未熟すぎて若干折れかけたけど最後まで楽しめました！#catechjob pic.twitter.com/10BLtAainu— もーりー⛅ (@_mooriii) 2019年11月29日インターンでは新規ページの仕様策定〜実装までやらせてもらいました。ディレクターの方やデザイナーの方と連携しながら仕事をさせてもらいとてもいい経験になりました。今日は油断

hiromark 2019/12/06

こわいこわい

リンク

世界中で攻撃を受けるMicrosoft SQL Server、パスワードの見直しを

Kaspersky Labは8月22日(米国時間)、「Agent 1433: remote attack on Microsoft SQL Server｜Securelist」において、Microsoft SQL Serverが世界中でサイバー攻撃のターゲットになっていると伝えた。調査結果によると、その多くはベトナムに存在しており、これにロシア、インド、中国、トルコ、ブラジルが続くとしている。ベトナム (16%) ロシア (12%) インド (7%) 中国 (5%) トルコ (5%) ブラジル (5%) 2019年1月〜2019年7月 Microsoft SQL Serverへの攻撃頻度を可視化したマップ - 資料: Kaspersky Lab 主な攻撃方法はブルートフォース攻撃（総当り攻撃）とのこと。攻撃者はまずMicrosoft SQL Serverがインストールされたサーバであるか

hiromark 2019/08/26

そもそも DB サーバーのポートが外に口を開けてるって怖くないのかな？

リンク

データベース・セキュリティ・コンソーシアム（DataBase Security Consortium） DBA実態調査WG

以下二つの観点より、潜在的にどのような内部不正のリスクがあるかを浮かび上がらせることを目的として活動。・データベースのセキュリティ対策の状況把握自社で保有しているデータベースについてどのようなセキュリティ対策が実施されているか。（例：暗号、パスワードポリシー強制、監査ログ取得、など）・ DBAの意識の現状把握そのDBAの人たちがどんな意識で運用や開発に関わっているのか。（例：お給料は十分ですか？残業多いですか？職場ではDBA業務を理解されていますか？など） 1 エグゼクティブ・サマリー 1.1 技術的セキュリティ対策の現況 1.2 DBAの待遇・意識と内部不正の可能性 2 調査の目的と概要 2.1 調査の目的 2.2 調査の概要 2.3 調査対象の内訳 3 調査結果と分析 3.1 技術的セキュリティ対策の現状 3.1.1 DBを取り巻くセキュリティ対策の整理 3.1.2 ウェブ

hiromark 2014/12/05

リンク

Validation nightで発表しました。

「RDBにおけるバリデーションをリレーショナルモデルから考える」という、なんとも捻りも面白みもないタイトルである。だが、RDBとValidationという2つが相容れないものだということを知っている人には、割と琴線に触れる話かも知れない。正直なところ、現在私はデータベースエンジニア一直線なので、アプリケーション開発におけるセキュリティというのは門外漢であると言って差し支えない。しかもイベントにはあの徳丸浩氏（バリバリの本職）も発表されるというではないか！！順番的には徳丸氏の次に話したのだが、徳丸氏はSQLインジェクションの実演までするというガチっぷりである。「場を白けさせてしまうのではないか・・・」「ガチの人から特大のマサカリが飛んでくるのでは・・・」そんな想いを脳裏に抱きつつ発表に望んだのであった。今回の持ち時間は20分と短めであったが、あまりたくさん話したいネタも無かったので