Software Delivery Shield の概要 | ソフトウェア サプライ チェーンのセキュリティ | Google Cloud
フィードバックを送信 Software Delivery Shield の概要 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 ソフトウェア デリバリー シールドは、フルマネージドでエンドツーエンドのソフトウェア サプライ チェーン セキュリティ ソリューションです。デベロッパー、DevOps、セキュリティ チームがソフトウェア サプライ チェーンのセキュリティ体制を強化するために使用できる Google Cloud プロダクトに、包括的でモジュール式の一連の機能とツールを提供します。 ソフトウェア デリバリー シールドは、次のもので構成されます。 開発、ビルド、テスト、スキャン、デプロイ、ポリシー適用におけるセキュリティのベスト プラクティスを組み込んだ Google Cloud のプロダクトと機能。 ソース、ビルド、アーティファクト、デプロイ、ランタイ
Javaは他のプログラミング言語と比較してどのくらい危険なのか？ Datadog調査
Datadogは2024年4月17日（現地時間）に、「State of DevSecOps 2024」と題された分析レポートを公開した。同レポートは、数千のアプリケーションやコンテナイメージ、クラウド環境のセキュリティ評価をまとめたものだ。 Javaは他のプログラミング言語と比較してどのくらいリスクがあるのか？ 同レポートによって、Javaアプリケーションは他のプログラミング言語に比べてサードパーティーの脆弱（ぜいじゃく）性の影響を受けやすいことや自動セキュリティスキャナーによって実行されるサイバー攻撃の大部分は無害であることなどが明らかになった。 Datadogが発表したレポートの概要は以下の通りだ。 Javaアプリケーションは、サードパーティーの脆弱性の影響を最も受けている。Javaサービスの90％がサードパーティーのライブラリーによってもたらされた1つ以上の重大または深刻度の高い脆弱
スマホの新認証方式「パスキー」を徹底解説 今後は“パスワードレス”が当たり前に？
今後、Webサービスから「パスワード」がなくなるかもしれない。というのは、ここ2年ほどで「パスキー」と呼ばれる、スマホやPCのセキュリティ領域に保存した暗号鍵を用いた、より簡単かつ安全な認証方式が普及しつつあるからだ。 「パスキー」を採用したWebサイトが急激に増加している。暗号鍵とスマホやPCの生体認証ロックを用いた認証方式で、脆弱（ぜいじゃく）性が問題となっているパスワードの置き換えを目指す 例えばドコモ利用者なら、dアカウントでパスキーを使い始めた人もいるだろう。また、「生体認証」という名称でauやメルカリ、Yahoo!JAPANなどのログイン時にもう利用しているかもしれない。 ここ2年でパスキーに注目が集まったのは理由がある。2022年5月にApple、Google、Microsoftの3社が、FIDOアライアンスとW3Cが策定した「パスキー（Passkeys）」への対応を発表した
サービスアカウントキーの漏洩検知・自動無効化を試してみた - G-gen Tech Blog
G-gen の杉村です。Google Cloud では、「サービスアカウントキーの漏洩レスポンス（Service account key exposure response）」という組織ポリシーの制約により、サービスアカウントキーがパブリックな Git レポジトリ等に漏洩した場合でも、自動的に検知され、キーが無効化されます。当記事では意図的にキーを漏洩させた場合の検証結果をご共有します。 キーの漏洩検知・無効化の自動化 有効化 設定画面へ遷移 制約を有効化 GitHub のパブリックレポジトリにキーを push 自動検知と無効化の確認 メールでの通知 WAIT_FOR_ABUSE の場合の挙動 キーの漏洩検知・無効化の自動化 サービスアカウントキーの漏洩レスポンス（Service account key exposure response）は、組織のポリシーの制約の1つであり、制約の正式な
Donning a MASQUE: building a new protocol into Cloudflare WARP
Donning a MASQUE: building a new protocol into Cloudflare WARP06/22/2023 When we originally announced WARP, we knew we were launching a product that was different from other VPNs. Cloudflare has not only hundreds more data centers than your typical VPN provider, but also a unique purview into the adoption of open Internet standards. The confluence of these two factors have led us to today’s announ
GitHubに大量の悪質リポジトリ、その数“10万超” 感染するとパスワード流出の恐れ
GitHubでマルウェアを仕込んだリポジトリを本物に見せかけて拡散させる手口が横行し、10万を超す感染リポジトリが見つかっているとしてサイバーセキュリティ企業が注意を呼びかけている。攻撃は今も続いており、何も知らない開発者がこうしたリポジトリを使えば、マルウェアに感染してパスワードなどの情報が流出する恐れがある。 サプライチェーンのセキュリティ対策を手掛ける米Apiiroによると、GitHubのリポジトリを狙う「リポコンフュージョン（取り違え）攻撃」は2023年11月ごろから激化したという。 攻撃者は、開発者をだまして悪質なコードやファイルをダウンロードさせる目的で、正規のリポジトリのクローンを作成。そこにマルウェアを呼び出すコードを仕込み、同一の名称でGitHubにアップロードする。次に自動化の仕組みを使ってそれぞれを何千回もフォークさせ、Web上のフォーラムなどで宣伝しているという。
GitHubに数百万件もの「悪意のあるコードを埋め込んだ既存リポジトリのコピー」がアップロードされていたという報告
GitHubは世界最大級のソフトウェア開発プラットフォームであり、メジャーなものからニッチなものまで多種多様なリポジトリが公開されています。ところが、GitHubでは2023年半ばから大規模な「repo confusion(リポジトリかく乱攻撃)」キャンペーンが行われており、最大で数百万件もの「既存リポジトリに見せかけた悪意のあるリポジトリ」がアップロードされていたと、セキュリティ企業・Apiiroの研究者であるマタン・ギラディ氏とギル・デイヴィッド氏が報告しました。 Over 100,000 Infected Repos Found on GitHub https://apiiro.com/blog/malicious-code-campaign-github-repo-confusion-attack/ GitHub besieged by millions of malicious
GitHubで「偽のスター」を購入して信用度を偽装しているプロジェクトの見分け方
GitHubではユーザーがリポジトリにスターを付けることができ、たくさんのスターを集めたリポジトリは「人気がある」「信頼性が高い」とみなされることが多くなります。しかし、それを逆手にとって偽のスターを購入することで人気度や信頼性を偽装しているリポジトリも存在しています。リポジトリに付いているスターが正当なものなのか、それとも偽装されたものなのかについて調べる方法をデータオーケストレーションサービスを提供するスタートアップのDagsterが開発し、ブログに掲載しました。 Tracking the Fake GitHub Star Black Market with Dagster, dbt and BigQuery | Dagster Blog https://dagster.io/blog/fake-stars GitHubにおける「スター」は、機能的にはFacebookやX(旧Twitt
GitHubの数百万のリポジトリに乗っ取りのリスク、確認を
Aqua Securityは6月21日(現地時間)、「GitHub Dataset Research Reveals Millions Potentially Vulnerable to RepoJacking」において、GitHubの数百万ものリポジトリが「リポジャッキング」に対して潜在的に脆弱であると報じた。 GitHub Dataset Research Reveals Millions Potentially Vulnerable to RepoJacking GitHubにはもう何年にもわたってリポジャッキング(RepoJacking)と呼ばれるサイバー攻撃に対して脆弱であることが知られている。リポジャッキングとは、オーナーやメンテナのアカウントでホストされているリポジトリを悪意のある第三者が強制的に奪うこと。 GitHubはリポジャッキングをブロックする取り組みを進めているもの
Keeping secrets out of public repositories
SecurityKeeping secrets out of public repositoriesWith push protection now enabled by default, GitHub helps open source developers safeguard their secrets, and their reputations. Accidental leaks of API keys, tokens, and other secrets risk security breaches, reputation damage, and legal liability at a mind-boggling scale. In just the first eight weeks of 2024, GitHub has detected over 1 million le
JWT.IO
JSON Web Tokens are an open, industry standard RFC 7519 method for representing claims securely between two parties. JWT.IO allows you to decode, verify and generate JWT. Learn more about jwtSee jwt libraries Warning: JWTs are credentials, which can grant access to resources. Be careful where you paste them! We do not record tokens, all validation and debugging is done on the client side.
Fivetran と BigQuery による不正行為の自動検出 | Google Cloud 公式ブログ
Join us at Google Cloud NextComing to Las Vegas, April 9–11. Register ※この投稿は米国時間 2024 年 2 月 1 日に、Google Cloud blog に投稿されたものの抄訳です。 現在の流動的な環境において、企業は不正なトランザクションを特定し、それらに対処するため、より迅速なデータ分析と予測的な分析情報を必要としています。一般的に、データ エンジニアリングと ML の観点から見た不正行為への対処は、主に以下の手順で構成されます。 データの取得と取り込み: トレーニング データを取り込んで保存するため、分散したさまざまなソース（ファイル システム、データベース、サードパーティ API）にまたがるパイプラインを確立します。このデータは有用な情報を豊富に含み、不正行為を予測する ML アルゴリズムの開発に役立ちます
mitmproxyを使ってアプリの通信内容を確認する
B! 10 0 0 0 アプリなどが何ら化クラウドサーバーと交信して色々やってる部分を 確認して別のところで操作出来るようにしてみるという話。 mitmproxy Windows WSLでの利用 Macでの利用 iPhoneからの接続 mitmproxyを使って通信内容を見てみる mitmproxy mitmproxy - an interactive HTTPS proxy mitmproxy doc: Introduction mitmproxyはプロキシサーバーをたてて、通信をそこを通すことで通信の内容を 監視したり、パラメータを変更して通信を送ったりすることを実現してくれるツール。 インストールは上記ページからインストーラーなりバイナリをダウンロードして使うか、 Homebrewを使っているならMacでもWindows WSLでも $ brew install mitmproxy
脆弱性データベース
Google Android dhcp4_Main.c dhcp4_SetPDNAddress メモリ破損脆弱性が Google Android kernel 内に見つかりました。この脆弱性は 重大 として分類されました。 この脆弱性により影響を受けるのは、ファイル【dhcp4_Main.c】に含まれる関数【dhcp4_SetPDNAddress】です。 未知の値で改ざんすることが、 メモリ破損を突く攻撃に繋がります。 アドバイザリーは source.android.com で共有されています。 この脆弱性は CVE-2023-48423 として知られています。 攻撃はリモートで開始される可能性が高いです。 入手できるエクスプロイトツールはありません。 この問題を修正するために、パッチの適用を推奨します。
Workload Identity Federationを図で理解する - Carpe Diem
概要 GCPのWorkload Identity連携はサービスアカウントで秘密鍵を作らずともGCPリソースへのアクセス権を他の環境（オンプレ、別パブリッククラウド）に付与することができます。 これにより AWSからGCPリソースにアクセスする GitHub ActionsからGCRにDocker imageをpushする CircleCIでGKEのデプロイを行う といった連携が鍵なしで実現できます。 ただ実装だけだとイメージしづらいので今回は図示してみました。 Workload Identity Federation Workload Identity連携における登場人物は以下です。 左のWorkloadsがGCPリソースにアクセスしたいアプリケーションに当たります。 準備 Workload Identity Poolの作成とサービスアカウントの作成 まずはWorkload Identit
AWS Security Hubコントロールの有効無効をコード管理するのは予想のN倍大変だった話 - ANDPAD Tech Blog
こんにちは。SREチームの吉澤です。2023年3月にアンドパッドに入社し、最近は主にセキュリティ関係の改善に取り組んでいます。 SREの経験としては、アンドパッドへの入社前からSREとして働いており、雑誌に寄稿したり、個人ブログを書いたり、SREの勉強会に運営スタッフとして長年参加したりしてきました。9/29(金)開催のSRE NEXT 2023にも、運営スタッフとして参加しています。SRE NEXT 2023には、アンドパッドもブロンズスポンサーとして参加しています！ そこで今回は、SRE NEXT 2023のCFPに応募したネタ（今回、競争率すごく高かったんですよね……）を育てて、1つ記事を書いてみました。CFP落選供養スペシャルです。 背景 AWS Security Hubとは アンドパッドでのSecurity Hubの活用 目的 実現方法 課題 Security Hubのコントロー
図解 DPoP (OAuth アクセストークンのセキュリティ向上策の一つ) - Qiita
はじめに DPoP（ディーポップ）という仕様を紹介します。 OAuth 2.0 Demonstration of Proof-of-Possession at the Application Layer (DPoP) この仕様は、悪い人がアクセストークンを盗んだとしても、それだけでは API に対する不正アクセスができないようにするための仕組みです。 従来は、クライアントアプリケーションがアクセストークンを提示して API にアクセスしてきたとき、そのアクセストークンが有効であれば、API アクセスは許可されていました。しかし、DPoP などの Proof of Possession（PoP）の仕組みを用いると、アクセストークンを提示しているクライアントがそのアクセストークンの正当な所有者かどうか（＝アクセストークンの発行を受けたクライアントと同一かどうか）もチェックされるようになり、アク
“ハッカー体験”ボードゲーム、IPAが無料公開 攻撃者視点で防御を学ぶ 手番は「最近怪しいメールが来た人」から
デジタル人材の育成を目指す「中核人材育成プログラム」の参加者が開発。「（サイバー攻撃の）防御を行うにしても、攻撃を全く知らない状態だと何から身を守っているのかイメージし難い。このゲームでは攻撃者の立場になり、サイバー攻撃を疑似体験することで、防御側が見落とす可能性のある脆弱な点に気付き、セキュリティ意識の向上につながることを期待する」としている。 このゲームは「個人、法人組織における非営利、非商業的態様でのシステムセキュリティ教育・啓発目的でのみ、かつ健全な社会通念に反しない」場合のみ、制作者への事前連絡なしで無償利用できる。顧客向けサービスなどと組み合わせての利用、内容改変などのその他の利用をする場合は制作者から許諾を得る必要がある。 また、このゲームは教育とコミュニケーションを目的として作られたものであり、実際の犯罪行為や攻撃の推奨を意図しているわけではないとしている。 関連記事 IT
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Secure Code Training for Developers | Secure Code Warrior
Smashing the state machine: the true potential of web race conditions