僕の考えたさいきょうのインスタンヌ - Qiita
今1からセキュリティを考慮したEC2環境作るならどうするか？というのを考えて色々妄想したもの。 とりあえずオープンソースで考えてみたが、多すぎて業務用なら市販のパッケージとか使ったほうが良いのかもしれない。 それSecurityOnionで出k ※2022/01/08 脆弱性スキャン関係を修正 ※2022/01/17 Wazuhログ集約関係を修正・追記, 詳細ページへのリンクを追加 前提 Ubuntu 20.04LTS on AWS EC2 Apache 2.4 + mod_php クライアント証明書使用可能 ←特殊条件 結論 OSレベルアクセス制御: AppArmor WAF: ModSecurity アンチウイルス: ClamAV HIDS / EDR: Wazuh 脆弱性スキャン: Wazuh SCA SIEM: Wazuh + Elastic Stack NIDS: AWS Net
StackOverflowからのコピペをやめろ。今すぐにだ。 - Qiita
Original article:https://dev.to/dotnetsafer/rip-copy-and-paste-from-stackoverflow-trojan-source-solution-4p8f その昔コピペできない文章というものがありました。 実際は単にフォントを変えているだけというものですが、人間の目に見える文字と実際の文字が異なることを利用した攻撃の一種と見ることもできます。 さて、最近になって似たような攻撃に関する論文が公開されました。 人間には見えない文字を織り交ぜることによって、一見問題ないコードが実は脆弱になってしまうというものです。 ただ論文は堅苦しいうえに長くて読むのがつらいので、具体的に何がどうなのかよくわかりません。 平易に解説している記事があったので紹介してみます。 以下はDotnetsafer( Twitter / GitHub / Web
認証と認可の違い、説明できる？ 「勇者王ガオガイガー」で解説してみる
この記事は認証セキュリティ情報サイト「せぐなべ」に掲載された「架空世界 認証セキュリティセミナー 第11回『政府による認証と認可【勇者王ガオガイガー】』」（2017年12月7日掲載）を、ITmedia NEWS編集部で一部編集し、転載したものです。当時未発売だった製品やサービスの記述などは、本記事掲載時の状況に合わせて編集しています。 あらためて架空世界の認証事例を紹介 ……それでは講義を始める。 さて、今回取り上げるのは「勇者王ガオガイガー」。いろいろ切り口のある作品ではあるが、今回は「そもそも認証とは何か？」という点をもうちょっと深く掘り下げていくつもりだ。そのつもりで読んでほしい。 「あとは勇気で補えばいいッ！」 では基本データから紹介しよう。 「勇者王ガオガイガー」は1997年から放送されたSFロボットアニメ。名古屋テレビ・サンライズ制作のいわゆる「勇者シリーズ」の最終作を飾るアニ
【脆弱王】史上最強の情報セキュリティ王者決定戦 - YouTube
脆弱性を制するものはセキュリティを制する。 最強の情報セキュリティ王者を決める架空のクイズ大会です。 ※脆弱性とは、コンピュータに存在する情報セキュリティ上の欠陥のことです 【解説・参考ページ】 1問目 バイナリかるたの解説 | KOZOSプロジェクト http://kozos.jp/binary-karuta/explain.html 2問目 MD5 | Wikipedia https://ja.wikipedia.org/wiki/MD5 3問目 不正アクセス行為の禁止等に関する法律 | e-Gov法令検索 https://elaws.e-gov.go.jp/document?lawid=411AC0000000128 4問目 プログラミング言語 Piet | Wikipedia https://ja.wikipedia.org/wiki/Piet #脆弱王 頭脳王
国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
調べた事実を列挙してみる。 ・デフォルトの設定では、設定・操作・閲覧情報がユーザーID、デバイスIDと共にアスツール社のサーバーへ送信されている ・検索窓に入力した文字は、検索ボタンを押さなくても、その内容が逐一アスツール社のサーバーへ送信されている ・検索内容がアダルト関連ワードかどうかがアスツール社のサーバーに送信され判定されている ・サービス利用データの提供設定をオフにしても、閲覧情報がアスツール社のサーバーに送信されている ・プライベートモードにしても、閲覧情報がアスツール社のサーバーに送信されている ・https通信であろうとも閲覧したURLは完全な形でアスツール社のサーバーに送信されている 様々な設定を調べたが、どのようにしても外部への閲覧情報送信を止めることはできなかった。 あなたが何を調べ、何を買おうとしているのか、何で遊び、どこへ行こうとしているのか。それらはあなたの知ら
AppArmor - ArchWiki
AppArmor は強制アクセス制御 (MAC) のシステムです。Linux Security Modules (LSM) 上に実装されています。 他の LSM と同じように、AppArmor はデフォルトの任意アクセス制御 (DAC) を置き換えるというよりも補完するものです。そのため、プロセスに最初から持っている権限よりも高い権限を与えることはできません。 Ubuntu や SUSE などのディストリビューションはデフォルトで AppArmor を使用しています。RHEL (とその派生) は正しく機能させるのにユーザー空間における設定が必要になる SELinux を使っています。SELinux は全てのファイル・プロセス・オブジェクトにラベルを貼るため非常に柔軟性があります。しかしながら SELinux の設定は非常に複雑で、ファイルシステムが SELinux に対応していなければなり
WAFがなぜWebアプリケーションのセキュリティ対策に必要なのか？理由を徹底解説 | セキュリティ対策 | CyberSecurityTIMES
WAFがなぜWebアプリケーションのセキュリティ対策に必要なのか？理由を徹底解説 2021.07.20 WAF 近年「SQLインジェクション」や「クロスサイトスクリプティング(XSS)」といったサイバー攻撃による情報漏えいの被害が急増しています。 ニュースでもたびたび報道されるようになり、こうした攻撃手法も世の中に広く知られるようになりました。サイバーセキュリティの最新情報に精通していないWebサイト制作の担当者でも、こうしたサイバー攻撃を認識するようになっています。もはやWebサイトのセキュリティ対策はすべての企業が積極的に取り組むべき課題なのです。 しかしながら、「ファイアウォールやIDS/IPSを導入していれば安全」とWebサイトのセキュリティ対策に誤解を持つ人が多くいることも事実です。このような誤解から、Webサイトに十分なセキュリティ対策が施されず、いつサイバー攻撃の被害にあって
2018年のパスワードハッシュ - Qiita
数年前であれば仕方なかったところですが、2018年の今となっては、パスワードハッシュの手動計算はもはや"悪"です。 まずログイン認証と称してmd5とかsha1とか書いてあるソースはゴミなので投げ捨てましょう。 hashやcryptは上記に比べればずっとマシですが、使い方によっては簡単に脆弱になりえます。 あと『パスワードを暗号化する』って表現してるところも見なくていいです。 PHPには、ハッシュに関わる諸々の落とし穴を一発で解消してくれるpassword_hashという超絶便利関数があるので、これを使います。 というか、これ以外を使ってはいけません。 以下はフレームワークを使わずに実装する際の例示です。 フレームワークを使っている場合は当然その流儀に従っておきましょう。 ハッシュの実装 データベース ユーザ情報を保存するテーブルを作成します。 パスワードカラムの文字数は、システム上のパスワ
HTTPヘッダインジェクションとOSコマンドインジェクションの違いと対策方法を徹底解説！ | セキュリティ対策 | CyberSecurityTIMES
HTTPヘッダインジェクションとOSコマンドインジェクションの違いと対策方法を徹底解説！ 2020.01.06 セキュリティ対策 概要 HTTPヘッダインジェクションは、HTTPレスポンスヘッダの出力処理に関するサイバー攻撃です。この脆弱性が存在する場合、「任意のクッキーがセットされる」、「任意のURLへリダイレクトされる」などの問題が発生する可能性があります。 前提 攻撃の説明の前に、少しだけHTTPレスポンスのデータ構造についてご説明します。 データ構造の仕組みを悪用することがHTTPヘッダインジェクションになり、最低限の知識は身につけておく必要があります。 HTTPで通信した際、HTTPレスポンスは下記のような内容になります。 【HTTPレスポンスの例】 HTTP/1.1 200 OK Date: Wed, 08 Feb 2017 08:33:35 GMT Expires: -1 C
The OOM CTF
カーネルのバージョンやシステムの構成や実行するタイミングなどの変動要因により、結果が異なる場合がありますことを予めご了承ください。 0.3 自己紹介：熊猫の Linux との関わりについて ＯＳレベルでのセキュリティ強化 ２００３年４月から２０１２年３月までは、 TOMOYO Linux という Linux システム向けのアクセス制御モジュールの開発に携わってきました。バッファオーバーフロー脆弱性やＯＳコマンドインジェクション脆弱性を撲滅できない状況で、当初は SELinux という難解なアクセス制御モジュールしかありませんでした。 TOMOYO Linux のメインライン化にまつわる苦労話は、セキュリティ＆プログラミングキャンプ２０１１の講義資料を参照していただければと思います。 TOMOYO Linux から始まって AKARI や CaitSith に至るまでの変遷は、セキュリティ・
ESP32 モジュールのフラッシュメモリ暗号化機構に関するメモ : DSAS開発者の部屋
ESP-WROOM-32 の内蔵フラッシュメモリについて調べていたところで Flash Encryption に興味を持ちその便利さを実感しました。 利用方法にやや込み入った要素も含まれるため自分用のメモとして一連の情報を控えておくことにします。 Flash Encryption - ESP-IDF Programming Guide - esp-idf.readthedocs.io 重要： この記事には誤りが含まれている可能性があります。たとえその誤りが原因で何処かで何らかの損害が発生したとしても筆者ならびに当社は一切の責任を負いません。実験や操作は上記公式ドキュメントを熟読の上必ず自己責任で慎重に行って下さい。 概要 ESP32 モジュールのフラッシュメモリは esptool を使えば簡単に読み書きできるためバックアップ等に便利ですが、その一方で、自分の手を離れた場所で装置を稼働させる
マンションのLAN内のゲートウェイが中間者攻撃してくるお話 - Qiita
来歴 私は去年、とある賃貸マンションへ入居した。 インターネットは無料で利用可能、壁の端子にLANケーブルを挿すだけ。 ただ、この物件のインターネット回線がおかしい。1日に1回くらい、Webサイトを閲覧しようとしたときに、マンションの管理会社のホームページへリダイレクトされる現象が起きる。 イメージとしてはこんな感じ。 東京の天気が表示されるべきなのに、入居者用Webページのログイン画面へリダイレクトされる。 腹が立ったので今年の5月くらいに現象を調べ、原因がわかったことで満足していたが、重い腰を上げて結果を以下の記事にして公開する。改めてGoogle先生に聞いたら、同じことで悩んでいる人がいた。 自動リダイレクトの回避方法について。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q10165027165 なお、後述の図には
WordPress 4.7.1 の権限昇格脆弱性について検証した
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
レーザー盗聴器 - 盗聴器・盗撮カメラの専門調査 情報ガード
レーザー盗聴とはガラスにレーザー光線を当て、反射して帰って来たレーザー光線に含まれる音声信号を読み取る盗聴方法です。 レーザー盗聴は電波を使わないため、盗聴発見業者には発見出来ないとされている盗聴方法とされており、実際に「レーザー盗聴器」と言う物は売られています。 レーザー盗聴器の仕組み 部屋の中で話をすると、その声が窓を僅かに振動させます。 レーザー盗聴は送信機から盗聴の対象となる部屋の窓にレーザー光線を照射し、反射して戻ってきたレーザー光線を受光機で受信し、そのレーザー光線に含まれる振動情報を読み取る装置です。 盗聴可能距離は数百メートルとされています。 しかし、反射角の関係で必ず自分の所へ反射して来るとは限りません。 上から狙えば下に、右から狙えば左へ反射してしまいます。 レーザー盗聴は本当に発見できないのか？ 確かにレーザー盗聴は電波を出さない為、電波を調べる盗聴発見法では、発見出
ランサムウェアの犯人に金を渡さないようにするには「払ってはダメ」だけではダメ。
「感染した場合、お金を支払ってもファイルは元に戻らない」と断言するのは事実とは異なる。また、身代金を払ってはダメだけでは、ランサムウェアの被害はなくならないし、感染して困っている被害者の救済にならない。バックアップがなくてもファイルを戻せる可能性はあるので、その方法も伝えていく必要がある。
GHOST 脆弱性は如何様に使うのか | Webシステム開発／教育ソリューションのタイムインターメディア
先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言
SSL3.0 徹底解剖！！！ 〜 なぜ POODLE に殺されたのか 〜 - もろず blog
©Copyright Yasuhiko Ito 10月の中旬ころに、google のセキュリティチームから POODLE という SSL3.0 の脆弱性が報告されたというニュースを見ました POODLE によって SSL3.0 の暗号通信が解読できることが実証されたので、今後 SSL3.0 は使わずに完全に捨てましょうという流れになっています 今回改めて調べてみると、SSL は過去にも CBC 暗号を使用した場合の脆弱性がいくつか報告されていました Padding Oracle 攻撃 (2002年) BEAST 攻撃 (2011年) Lucky Thirteen 攻撃 (2013年) これらの攻撃をなんとかしのいで生き残ってきた SSL3.0 でしたが、今回の POODLE が致命傷となってついに死んでしましました SSL3.0 の何がマズかったのか、どんな弱点があったのかを見ていきましょ
Apacheのアクセス制御をちゃんと理解する。 - こせきの技術日記
Apacheの設定で Order deny,allowとか Satisfy anyとか、なんだか意味わからん人のために。僕はずっとわかってなかった。 基本 Apacheのアクセス制御には、 ホストによる制御 (Order,Allow,Deny) ユーザ認証による制御 (Auth*, Require) の2通りがある。 Satisfyは、2通りあるアクセス制御の両方を満たす必要があるかどうかを決定する。デフォルトはSatisfy all。Satisfy anyなら、どちらか片方満たせばよい。 Order http://httpd.apache.org/docs/2.2/mod/mod_authz_host.html#order Order deny,allowは、全てのホストからのアクセスを許可する。 Order allow,denyは、全てのホストからのアクセスを拒否する。 Order d
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Iptablesチュートリアル 1.2.2
TCP/IPに係る 既知の脆弱性に関する 調査報告書 - 情報処理推進機構.pdf