AWSを使うときに確認すべき52のセキュリティチェック項目と15分でできる簡単なチェックの方法｜DevelopersIO
はじめに 自分が使っているAWS環境のセキュリティに問題がないかと心配になることはないでしょうか？私はよくあります。そこでCIS Amazon Web Service Foundations Benchmark というAWSのセキュリティのガイドラインに沿って使っているAWSアカウントのセキュリティの状況をチェックしてみました。チェック項目は全部で52あります。内容を一通り確認したところ知らなかったAWSのセキュリティの機能やノウハウを知ることができ、見ただけでもとても勉強になりました。簡単にチェックする方法も併せて紹介しますのでぜひ使っているAWS環境でチェックしてみてください。 1 IAM 1.1 rootアカウントを利用しない rootアカウントは強力な権限を持つため、rootアカウントを利用せずIAMユーザーを利用してください。通常運用でrootアカウントが利用されていないか確認し
Node.js で発生した Hash flooding DoS とその内容について - from scratch
Node.js のセキュリティアップデート 7/11 に Node.js のセキュリティアップデートがリリースされました。 Security updates for all active release lines, July 2017 | Node.js これには複数の脆弱性が報告されており、今回はそのうちの1つの Hash flooding DoS という脆弱性が何なのか、それに対して採用された対策が何なのかについてお話します。 Hash flooding DoS (hashdos) Denial Of Service 、つまりサービス拒否攻撃の一種です。 JavaScript のオブジェクトは内部的にハッシュテーブルとして表現されています。 図はこちらから引用 ハッシュ関数は同じkeyなら同じ値を返しますが、別なkeyなら通常は別な値になります。 ハッシュテーブルのinsert, g
ポートノッキングで10秒間だけsshdを公開する設定 - hnwの日記
先日Twitterに次のような書き込みをしたところ思ったより反応が良かったので、詳細の設定を紹介します。 UDP53番、TCP443番、UDP123番とポートノッキングをするとTCP443番に10秒だけsshdが現れる、という中二病全開の設定をした。皆様にもお勧めしたい。— hnw (@hnw) 2017年3月26日 といっても特殊なことをしたわけではなく、knockdでポートノッキングの設定を行い、iptablesと組み合わせて実現しました。 ポートノッキングとは ポートノッキングというのは、決められたポートを決められた順番で叩くことでファイアーウォールに穴を空けられるような仕組みのことです。ポートノッキングを使えば、TCPの7000番、8000番、9000番の3ポートにパケットを送りつけると22番ポート (SSH) へのアクセスが許可される、といった設定ができます。 ポートノッキングの
PHPMailerのリモートコード実行脆弱性(CVE-2016-10033)の影響範囲 - Qiita
今回の脆弱性 CVE-2016-10033 CVE-2016-10045 CVE-2016-10074(Swift Mailer) 追記 2016/12/28 14:15 Postfixを使っていて、sendmailコマンドの代わりにPostfixのsendmailコマンドを使っている場合は、Postfixのsendmailコマンドが -X オプションを無視するようですので大きな影響を受けないと思います。ただ、別のオプションで違う脆弱性が発生する可能性もあるので、PHPMailerはアップデートしたほうが良いですね。 2016/12/28 15:35 PHPMailer5.2.18の修正を回避する新しい攻撃が見つかり、 CVE-2016-10045として登録されその攻撃方法も公開されてます。こちらはPHPMailer5.2.21で対応されています。 この攻撃は、PHPMailer5.2.1
Yahoo！IDが不正ログインされました！ - Rinのシンプル生活
2016 - 11 - 27 Yahoo！IDが不正ログインされました！ 日々のこと ミニマリスト にはなれないけれど、モノを極力増やさないシンプルな暮らしを心がけています。 お片付け・断捨離・インテリア等を中心に日々の生活を綴っています。 先日、普段はカレンダー機能しか使っていないYahooIDが不正ログインされたと Yahoo! JAPANから連絡がきました。 Yahoo! ＩＤ 不正ログイン 今月の８日にＹａｈｏｏ!JAPANから以下のメールがメインで使ている別のメールアドレスへ届きました。 普段お客様がご利用になられていない環境から Yahoo! JAPAN へのログインがありました。 ■ログイン情報 ・ログイン日時 ： 2016/11/08 12:42:38 ・ IPアドレス ： 180.121.135.83（ 中華人民共和国 ） 上記のログインに心当たりがない場合は、
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
Dockerでホストを乗っ取られた - Qiita
注意 本件記事ですが、私の不適切な行動（拾ったスクリプトを検証なく走らせる）が原因です。「dockerは（特に何もしなくとも）危険」との誤解を皆様に与えた点、ご迷惑をおかけいたしました。申し訳ございません。 拡散されている記事を削除するのはさらなる誤解を招きかねないと思いましたので、冒頭に注意を付記しております。以下の記事は、「自分が何してるかをきちんと検証できないとセキュリティホールを生み出す」という意味で参考にして頂ければ幸いです。 追記 Twitterやはてブで言及いただきました皆様、ありがとうございます。 本件はpullしてきたイメージが悪意ある開発者によるものかどうかにかぎらず、不適切な設定をしていると起こり得ます。 ※コメント欄に質問への回答という形で、私がそのときに走らせていたイメージの一覧を挙げておりますが、どのイメージも評判あるものだと思います。 皆様におかれましては「あ
ElectronアプリのXSSでrm -fr /を実行する - Qiita
Electronアプリでxssを発生させると任意のコードが実行できるらしいのでrm -fr /を試してみます。 想定 web版とelectron版のあるチャットアプリケーションという設定です。攻撃者が用意したリンクをクリックすると、PC内のすべてのファイルを消し去るというシチュエーションを考えてみます。 用意 環境はホストmac OSX、ゲストにubuntu14.04環境をvagrantを利用し用意しました。 expressでリストとフォームからなる脆弱性のあるチャットをつくります。エスケープ処理をしてないので、任意のコードが実行できる状況です。 'use strict'; const path = require('path'); const express = require('express'); const app = express(); const ejs = require(
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
Node.jsのセキュリティ・チェックリスト | POSTD
(訳注：2016/1/5、いただいた翻訳フィードバックを元に記事を修正いたしました。) セキュリティ – 誰もが見て見ぬふりをする問題 。セキュリティが重要だということは、誰もが認識していると思いますが、真剣にとらえている人は少数だと思います。我々、RisingStackは、皆さんに正しいセキュリティチェックを行っていただきたいと考え、チェックリストを用意しました。皆さんのアプリケーションが何千人というユーザやお客様に使用される前にセキュリティチェックを行ってください。 ここに挙げたリストのほとんどは概略的なもので、Node.jsに限らず、全ての言語やフレームワークに適用することができます。ただし、いくつのツールは、Node.js固有のものとなりますので、ご了承ください。 Node.jsセキュリティ に関するブログ記事も投稿してありますので、こちらも是非読んでみてください。 構成管理 HT
1万台ものルーターを何者かが勝手にハックしてセキュリティを高めていたことが発覚
by Peter Dahlgren ユーザーのネットワークに侵入したマルウェアは、侵入した後にさらなる攻撃を仕掛けるためにユーザーのルーターを利用することが多々あります。しかし、Symantecが発見したLinux.Wifatchというマルウェアは、Linuxを搭載する1万台ものルーターに感染しておきながら、悪用ではなくむしろ「デバイスのセキュリティを高める動き」をしていたことがわかりました。 Is there an Internet-of-Things vigilante out there? | Communauté Symantec Connect http://www.symantec.com/connect/blogs/there-internet-things-vigilante-out-there Someone Has Hacked 10,000 Home Routers
Yahoo!の広告からマルウェアが送り込まれて何千人も感染する事態が発生
By Yahoo アメリカの大手ポータルサイトYahoo.comの広告を経由してマルウェアが送り込まれ、多くのユーザーのPCがマルウェアに感染したことが判明しました。 Malicious advertisements served via Yahoo | Fox-IT International blog http://blog.fox-it.com/2014/01/03/malicious-advertisements-served-via-yahoo/ Thousands of visitors to yahoo.com hit with malware attack, researchers say http://www.washingtonpost.com/blogs/the-switch/wp/2014/01/04/thousands-of-visitors-to-yahoo-c
【NAVER】NAVER会員情報への不正アクセスに関するお知らせ(続報）
平素は各別のご愛顧をいただき、厚くお礼申し上げます。 2013年7月19日にお知らせいたしました、LINE株式会社が運営するNAVERサービス（NAVERまとめ、Nドライブ、NAVER Photo Album、pick、cafe）の会員情報（以下、NAVERアカウント）に対する外部からの不正アクセスについて、8月2日、不正アクセスを行った人物を特定し、不正アクセスされた会員情報の不正使用、第三者への提供等の痕跡が一切無いことを確認いたしました。 今回の不正アクセスは日本国外の人物によって行われたのもので、弊社と現地警察とで連携し、不正アクセスを行った人物の特定に至りました。 また、本人の自供および現地警察と弊社の技術スタッフによる検証の結果、169万2,496件のNAVERアカウント情報（Eメールアドレス、ハッシュ化されたパスワード、アカウント名（ニックネーム））は弊社スタッフ立会いのもと
サイバー「護身術」を磨け、ヤフーID流出 リスク管理の要諦 - 日本経済新聞
今年になって頻発しているインターネットサービスのID不正流出で、国内最大級の事件が発生した。ヤフーは17日夜、「ヤフー！ジャパン」が不正アクセスを受け、最大で2200万件のIDが流出した可能性があることを明らかにした。同社が管理する約2億件のIDの10分の1強にあたる規模で、ヤフーIDをもっている人の中には該当者も多いだろう。では、被害に遭った可能性のある人はいま何を心配して、今後何に気をつけれ
韓国への大規模サイバーテロ事件について | snowwalker's blog
まだ状況がはっきりしていない部分も多いのですが、韓国で大規模なサイバーテロが発生した模様ですね。現在明らかになっている情報を総合すると、犯人は不明ですがきわめて意図的な大規模攻撃のように見えます。Mandiant報告にあるような産業スパイ大作戦とはまた異なる様相のストレートなサイバー戦争が発生しているように思えるので、こちらで少し状況をまとめておきます。 1.被害状況 複数の放送局・金融機関で社内コンピュータネットワークが一時マヒ状態になる 新韓銀行ではATMやオンラインバンキングサービスまで一時的に利用不能 2.攻撃手法 良くありがちなDDOSなんぞではなく、malware配布によるもの。 感染経路としては韓国内で60%程度のシェアを誇るアンラボ社製品の各社に設置された資産管理サーバを乗っ取り、そこにmalwareを仕込んだと思われる。 アンラボ社の見解(韓国語) 資産管理サーバーを乗っ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
既存のx86/ARM CPUほぼ全てに通用するJavaScript攻撃が発見される ～アドレス空間配置のランダム化を突破
TLS徹底演習
TechCrunch
BLOGOS サービス終了のお知らせ
安全なPHPアプリケーションの作り方2013
