江崎グリコの基幹システム移行トラブルについてまとめてみた - piyolog
2024年4月5日、江崎グリコは基幹システムの切り替え後にシステム障害が発生し、同社や販売委託を受けている一部の冷蔵食品の出荷に影響が生じていると公表しました。ここでは関連する情報をまとめます。 障害後緊急対応するも在庫数合わず業務停止 今回システム障害が起きたのは江崎グリコの基幹システムで2024年4月3日の新システムへの移行に伴い発生した。物流、販売、会計などを一元管理するERPパッケージ SAP社製「SAP S/4HANA」で構築されており、「顧客への継続的価値創出を可能にするバリューチェーン構築と経営の迅速な意思決定を目的とした、調達・生産・物流・ファイナンスなどの情報を統合する基幹システム」と同社では説明している。障害原因の詳細は同社から開示されてはいないが、システム障害の問題個所の特定は済んでいる。なおサイバー攻撃によるものではないと取材に答えている。*1 システム障害の影響に
Firebase Authから内製認証基盤に無停止移行して年間1000万円以上削減した
症状検索エンジン「ユビー」 では、ローンチ当初から Firebase Auth (GCP Identity Platform) を使っていましたが、OIDCに準拠した内製の認証認可基盤に移行しました。 認証認可基盤そのものは m_mizutani と nerocrux と toshi0607(退職済) が作ってくれたため、僕は移行のみを担当しました。 結果として、強制ログアウトなし・無停止でビジネス影響を出さずに、年間1000万円以上のコスト削減に成功しました[1]。その移行プロセスについて紹介します。認証認可基盤そのものの紹介はあまりしません。 移行した理由 大量の匿名アカウント ユビーでは、アクセスした全ユーザーに対して自動的に匿名アカウントを発行しています。これにより、ユーザーがアカウント登録しているかどうかに関わらず、同じID体系で透過的に履歴情報等を扱うことができます。アカウント
Auth0にPassKeyが搭載されたぞ！！！
はじめに 先日ふと Auth0 のダッシュボードを眺めていると、興味深い項目が表示されていました。 Passkey がある!!! なので、今回は Auth0 に搭載されたパスワードレス認証方式である Passkey の説明をしていきます。 なお、Auth0 の設定方法についてはAuth0 からリリースされた記事を参考にして、記載しています。 パスワード認証の課題 Passkey の説明をするまえに、パスワード認証の課題について見ていきます。 認証方法として当然とされているパスワード認証ですが、以下の 3 つの課題を持っています。 ① パスワードの使い回し ② 推測されやすいパスワードの使用 ③ フィッシングアプリへのパスワード入力 それぞれ見ていきましょう。 ① パスワードの使い回し ログインが必要なアプリにはそれぞれ異なるパスワードを使用するというのは皆さんご存知だとは思います。 とはい
電気通信における「通信の秘密」について解説します（追記あり） - 畳之下新聞
この記事は法的見解を示すものではありませんのでご了承ください。 総務省や業界団体のガイドラインに基づいて記載していますが、間違いがありましたらコメント等で優しくご指摘お願いします。 憲法における「通信の秘密」 「通信の秘密」は、日本国憲法により保障されています。 日本国憲法 第21条2項 検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。 憲法における通信の秘密の保護は、国民のプライバシー保護にとどまらず、公権力や通信業務従事者によって通信の秘密が侵害されないことを保障しています。 電気通信分野において、憲法における「通信の秘密」が適用されるケースはまずありませんし、適用しても議論が大づかみになりすぎるので、憲法で保障されていることだけを理解しておきましょう。 電気通信における「通信の秘密」 憲法の規定を受け、電気通信の分野では、電気通信事業法や電波法、有線電気通信法等に
Metasploit の概要と使い方【脆弱性検査ツールの紹介】
こんにちは、ぎんたです。 今回は、Metasploit Frameworkの概要、発見した脆弱性に対するコマンドの使用例と権限昇格の方法について解説していきます。 攻撃者が使うツールについて知ることはサイバー防御において必要となります。 外部に対しては決して使用せず、試行する場合は仮想環境などの自身が構築した環境内で実施ください。 Metasploit Frameworkって使ったことないけど、使い方の概要を知りたい！ 利用できる脆弱性を悪用するコードの探し方を教えて欲しい！ 脆弱性を悪用するコードを実行する前の事前設定のやり方が知りたい！ Metasploit Frameworkについて コマンドラインから動作するオープンソース版のツールです。 このツールを使用することで、 ターゲットのスキャン 脆弱性の悪用 ブルートフォース攻撃 などを行えます。 Kali LinuxやAttackBo
【入門】Metasploit Framework【ペネトレーションテスト用】 | 株式会社ビヨンド
こんにちは。 システムソリューション部のインフラわっしょいマンです。 過去に書いた記事はこちら Metasploit Framework という有名なオープンソースのソフトがあります。 ミドルウェアなどの脆弱性を実際に突いて、セキュリティの耐久性を評価する「ペネトレーションテスト」に使用するツールです。 今回は上記ツールを使用できる環境を用意してみようと思います。 このようなツールをみてみると、脆弱性を抱えたバージョンを使い続ける危険性がなんとなくわかるかと思いますので、それを知っていただくことが本記事の目的となります。 ※ ペネトレーションツールですが、必ず自分で用意した検証環境などで使用してください。 悪用は犯罪ですので、ご利用は自己責任でお願いいたします。 Metasploit Framework インストール 環境はいつものごとく、CentOS7 の bento box で用意しま
GitLabで1クリックアカウント乗っ取りが可能だった脆弱性から学ぶ、OpenID Connect実装の注意点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)です。 最近は認証や認可に際してOpenID Connectを使うWebサービスが増えていると思います。「Googleアカウント/Twitter/Facebookでログイン」などのUIはあらゆるサービスで見かけると思います。しかし、OpenID Connectの仕様をよく理解せずに不適切な実装を行うと脆弱性を埋め込むことがあります。 そこで、突然ですがクイズです。以下のTweetをご覧ください。 ⚡️突然ですがクイズです！⚡️ 以下の画面はOAuth 2.0 Best Practice上は推奨されないような実装になっており、潜在的リスクがあります。https://t.co/bXGWktj5fx どのようなリスクが潜んでいるか、ぜひ考えてみてください。このリスクを用いた攻撃についての解説記
たくさんセキュリティチェックシートを書いていて悟りが開けそうなので途中経過を書いてみる - Qiita
セキュリティチェックシートって大変ですよね 「契約締結目前で、今日もらったチェックシートを3日後までに出せば決まりです！」 「これNGだと契約できないんですけどなんとかならないですか？」 「（書いてもらったシートをレビュー中）え！？これOKじゃなくてNGですよ！？」 「書き始めたら8時間以上かかってるんですけどこれ無償対応なんですか・・・？」 っていうことありませんか！？ない！？良かったですね！！（血涙） ということで、結構セキュリティチェックシートで苦労しています。 過去にISMS認証を取得したときには「これでちょっとは楽になるな！よかった！」と思ったもんですが、 大きく楽になった感じはありません。 といっても、セキュリティチェックシートは次々来るので、なんとなく悟りが開けてきました。 ということで、道半ばではありますが、 そもそもセキュリティチェックシートってなんだっけ？ なんで苦労し
第5回 まだまだ残っているSQLインジェクション | gihyo.jp
SQLインジェクションは古くから知られている代表的なWebアプリケーションの脆弱性です。JavaScript関連の脆弱性に比べると対処が非常に簡単であるにも関わらず、まだまだ多くのアプリケーションがSQLインジェクションに脆弱です。SQLインジェクションに脆弱なアプリケーションはPHPアプリケーションに限った問題ではありません。Java、Perlなど、ほかの言語で作成されたWebアプリケーションにもまだまだ多くのSQLインジェクション脆弱性が残っていると考えられます。 重要なのは「正しく行えばSQLインジェクション対策は簡単」であることです。 SQLインジェクションの動作原理 SQLインジェクションの動作原理は単純で、解説するまでもないと思いますが、簡単に説明します。SQLインジェクションは、動的にSQL文を生成する際のパラメータに、プログラマが意図していない文字列を与えることにより、デー
セキュリティ診断サービスを価格別に比較。予算に合った選び方 | アスピック｜SaaS比較・活用サイト
セキュリティ診断サービスを価格別に比較。予算に合った選び方 最終更新日:2024-03-15 Webサービスやアプリの提供開始前に、セキュリティ診断サービスを利用して脆弱性を調べたいが、「費用が心配」「選び方がわからない」とお悩みの方へ。セキュリティ診断サービスの価格の目安や、価格によるサービスの比較、おすすめサービスなどについて解説します。 セキュリティ診断サービスとは？ セキュリティ診断サービスとは、Webサイト・スマホアプリなどのアプリケーションや、サーバー・ネットワーク・OSなどのプラットフォームに脆弱性がないかを診断するサービスです。 セキュリティ診断サービスの必要性 セキュリティに穴があると自社が攻撃されるだけではなく、自社のWebサービスを利用した顧客やユーザーが被害にあうリスクもあります。一般的には、セキュリティ診断を実施すると、7～8割に脆弱性が検出されるとも言われていま
フロントエンド開発のためのセキュリティ入門 知らなかったでは済まされない脆弱性対策の必須知識 | 翔泳社
Webアプリケーションの堅牢化に欠かせない知識を凝縮！ セキュリティ学習のスタートに最適の一冊！ 本書は、安全なWebアプリケーションを開発するための基本知識を、フロントエンドエンジニア向けに解説したセキュリティの入門書です。 これまでWebアプリケーションの開発で、セキュリティは「バックエンドの仕事」というイメージの強い領域でした。しかし、アプリケーションの安全性を高めるためには、フロントエンドエンジニアにも、セキュリティの基礎知識や具体的な対策の実践が求められます。 本書では、Webセキュリティの必須知識である「HTTP」「オリジン」などの基礎トピックや、「XSS」「CSRF」といったフロントエンドを狙ったサイバー攻撃の仕組みを、サンプルアプリケーションを舞台にしたハンズオンで学びます。 もちろん、攻撃からユーザーを守る防御の手法もしっかりおさえます。個々の攻撃手法に応じた対策のほか、
Amazon S3の脆弱な利用によるセキュリティリスクと対策 - Flatt Security Blog
はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、Amazon S3 の脆弱な使い方によるセキュリティリスクと対策を解説し、実際の設定不備などに関する事例についても紹介します。 Flatt Security は専門家の視点でセキュリティリスクを調査するセキュリティ診断を提供しています。クラウドとアプリケーションの総合的な診断の事例として SmartHR 様の診断事例がございますので、是非インタビュー記事をご覧ください。GCP の事例ですが、もちろん今回取り上げる AWS でも同様の診断が可能です。 はじめに Amazon S3 とは バケット・オブジェクト バケット オブジェクト アクセスポリシー バケットポリシー アクセスコントロールリスト(ACL) IAM ポリシー 署名付き URL Amazon S3 に
IPA、専門家による脆弱性診断を無料提供 中小運営のECサイト向け
情報処理推進機構（IPA）は3月8日、ECサイトを運営する中小企業向けに、専門家による脆弱性診断を無料で提供すると発表した。通常は100万円程度の費用が掛かるサービスだが、ECサイトが抱える脆弱性の実態を把握するため、経済産業省の補助を受け無料で実施するという。 資本金か出資総額が5000万円以下、もしくは従業員数が50人以下の企業が構築したECサイトが対象。条件は（1）ネットショップ作成サービスなどで作ったECサイトではない、（2）オンプレミスかIaaSで運用している、（3）リモートでの診断が可能──など。 実際の診断では、IPAが独自に作成した診断シートへの回答を基に、専門家が認証やアクセス制御といったセキュリティ設定に不備がないかを確認。リモートでの脆弱性診断も行い、結果を基に対策などをアドバイスする。 応募には申込書の記入が必要。申請はメールで受け付ける。募集は応募が一定数集まり次
Linuxサーバのセキュリティ対策 part1
Kazunori InabaServer Infrastructure Engineer at Inaba Server Design, Sapporo, Japan
mod_dosdetectorでApache DoS対策
タグ 保湿RTX1210VagrantVirtualBoxAnsibleLarabelClamAVCentOS7SWX2200ゆるいハッキング大会RTX1100MySQLPlesk12おりょりょんNFSPostfix基板修理linux 入門atomゆるいハッキングDrupalVisual Studio 2017RabbitMQMVCAsteriskベンチマークBINDGitMastodonwindows10GeoIPApacheAWS S3AWS CLIFuelPHPVulsH2OSSHFSAWS EFSZabbixRDPELBロードバランサsshバックアップ負荷分散AWS EBSCybozu Office10ElasticsearchSWX2300LogstashKibanaLaravelKubernetes仕事猫現場猫ゆるいハッキングセミナーALBDNSConoHa Vlanデッドロッ
【悲報】KeePassのスマホとクラウド同期は安全ではない
パソコン・スマホなどでクラウド同期をしている方は、仕様を理解しているだろうか。 キーファイルを使用していれば安全でも、それは持ち歩かない端末の話だ。 また、端末に情報を置いていない状態でも「KeePass2Android（キーパス2アンドロイド）」側がクラウドに許可権限を求め、求められた権限は無くしたスマホ1台で許可できてしまう。 つまり、「データベースファイル（.kdbx）」・「キーファイル（.key）」両方がスマホに集結しており、別々に保存して安全に保つ作戦が破綻している。 この記事では盗難・紛失した際の対処法と、「KeePass2Android」アプリの紛失対策法を紹介するが、対処法はiPhoneなどのiOSでも同じく存在すると思うので参考にされたし。 なお、上級者向けのやりすぎ内容であり、あきらかにKeePassガチ勢レベルであるため休みの日にすることを推奨。
セキュリティ未経験の初心者がCTFに出場するための5ステップ - Qiita
私の前職の企業が、SECCONのスポンサーなこともあり、SECCONに出場する社員が多数いました。私自身はインフラエンジニアで、普段コードを書かなければ、セキュリティが専門でもなかったので、CTFに出場するために必要な知識やスキルがわからず、独学で勉強していました。 参加者曰く、セキュリティの実務経験があるから有利というわけではなく、時間を費やして（CTFの問題を）やりこんだ者が勝つそうなので、どれだけCTFのトレーニングに時間を割けるかが勝負の分かれ目のようです。 この投稿では、これからSECCONに出場してCTFに挑戦してみたいという方に向けて、セキュリティ未経験の初心者がSECCONに出場するために必要なCTFの知識やスキルを得るための方法をご紹介します。 Step1 SECCONや、SECCON以外のCTFのスケジュールを確認する CTFtime.orgのEvents calend
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
警視庁に、家庭用ルーター不正利用の現状を聞く〜「“攻撃元”の家庭へ捜査員が話を聞きに行った事例も」 
脆弱性診断とペネトレーションテストの違い｜自社に必要なサービスがわかる | GMOインターネットグループ 情報セキュリティブログ
AWS Secrets Manager（シークレットのローテーション、管理、取得）| AWS
