女子高生ハッカーによる、攻撃手法から学ぶセキュリティ入門【CV内田真礼】｜paizaラーニング
※本講座に使われている技術、攻撃手法は実際のものであり、本講座外での外部サイト への攻撃は不正アクセス禁止法に抵触し、取り締まり対象となりますのでご注意ください。 ※この物語はフィクションです。実在の団体や人物と一切関係はありません。 「攻撃手法から学ぶハッカー入門」は、誰もがホワイトハッカーになれるよう、 ハッカーの攻撃手法を実際に試しながら学べる世界初のセキュリティ講座です。 SQLインジェクションやXSS（クロスサイトスクリプティング）など、 知っているが実際に試したら捕まってしまう、 Webアプリケーションの脆弱性に対するハッキング手法を、 仮想実行環境を利用し実際にハッキングと対策方法を試しながら セキュリティ対策が学べる画期的な講座です。 転職・就活情報から未経験向け求人や動画学習まで、IT／WEBエンジニアに特化した総合求職・学習サイト「paiza（パイザ）」。 プログラミン
脆弱性診断を内製化してみてわかったこと／セキュア開発の始め方 | 株式会社神戸デジタル・ラボ Kobe Digital Labo（KDL）
KDLはシステムの要件定義、設計、開発段階から脆弱性を作りこまない「セキュア開発」に取り組んでいます。主に既存のシステムをターゲットとした脆弱性診断やさまざまな対策支援サービスを展開しているKDLが、なぜ「セキュア開発」に取り組むようになったのか？ きっかけとなったのは、納品前の脆弱性診断を開発側で内製化したことでした。今回は脆弱性診断の内製化のメリットや気づきをご紹介します。 脆弱性診断とは 脆弱性診断とは、システムの脆弱性を見つける検査のことです。攻撃者の視点から様々な疑似攻撃をしかけ、潜在的な脆弱性を発見するものです。攻撃するには、ウェブアプリケーションに関する知識、攻撃する手法や最近の流行など、専門的な知識が必要になります。 経緯とわかったこと 従来KDLでは、開発したシステムの納品前にセキュリティ事業部が脆弱性診断を実施していました。しかし、もっと早いサイクルで診断を実施していく
Ghostscript脆弱性とImageMagick/GraphicsMagick、そしてGoogle Project Zero - ろば電子が詰まつてゐる
Ghostscriptの脆弱性が、Google Project ZeroのTavis Ormandy氏により公開されました(CVE番号はまだ無し)。openwallのoss-securityメーリングリストにもクロスポストされたので、こちらを見た方も多いでしょう。 https://bugs.chromium.org/p/project-zero/issues/detail?id=1640 http://openwall.com/lists/oss-security/2018/08/21/2 基本的な情報は以下のJPCERTアナウンスから出ているので、ここではもうちっと細かいTopicsをいくつかまとめます。 JPCERT: Ghostscript の -dSAFER オプションの脆弱性に関する注意喚起 概要 PostScriptは、単なるドキュメントファイルの一型式ではなく、描画コマンドな
MyJVN API に関する覚え書き
MyJVN API は JVN が提供している「脆弱性対策情報共有フレームワーク」のひとつである。 MyJVN API ではメインサービスである RESTful API のほか， Twitter での情報配信も行っている。 @JVNiPedia : 脆弱性情報 @MyJVN : バージョン更新情報 今回は RESTful API に絞り，覚え書きとして残しておく（随時加筆予定）。 なお「脆弱性対策情報共有フレームワーク」では MyJVN API と併せて以下のツールも提供している（どれも機能がイマイチなのが…）。 MyJVN バージョンチェッカ（Windows 専用） Java JRE 版 1 CLI 版 .NET 版 : GUI 版と CUI 版がある MyJVN 脆弱性対策情報収集ツール MyJVN 脆弱性対策情報フィルタリング収集ツール （要 Adobe AIR） MyJVN API
アトラスの脆弱性管理方法 | Atlas Developers Blog
初めまして。2017年4月に入社したパクです。入社したばかりだと思ったら、もう2018年１月が終わろうとしています。時が経つのは本当に早いです。 アトラスのシステム開発グループには色々なチームがあります。特に新人の場合、必ずシステム管理チームに所属して機器管理・システム監視・脆弱性対応などを担当します。今回はその中でも個人的に一番重要で、難しいと思う脆弱性情報の管理方法について紹介します。 脆弱性とは？ コンピュータソフトウェアの欠陥（バグ、不具合、あるいはシステム上の盲点）の1つで、ソフトウェアが現在持っている弱点です。ソフトウェアに脆弱性がある状態で利用していると、不正アクセスに利用されたり、ウイルスに感染したりする危険性があります。 またソフトウェアは人が作るため、脆弱性のないソフトウェアは存在しません。アトラスでは日々更新される脆弱性情報を収集し、漏れなく対応することで、なるべく安
脆弱性管理のベストプラクティスとスレットモニタリング
Interlop Tokyo 2018での西村の講演資料です。
セキュリティ診断レポート 2018 陽春 | LAC WATCH
「セキュリティ診断レポート」は、ラックが提供している診断サービスの結果を分析し、傾向や知見をまとめたレポートです。システム担当者や情報セキュリティ担当者に向けた、リスク管理に役立つ内容となっています。 セキュリティ診断レポート 2018 陽春の内容 過去5年に実施したWebアプリケーション診断とプラットフォーム診断結果の傾向 Webアプリケーション診断サービスの選び方 セキュリティ診断とペネトレーションテストの活用法 目次 Introduction 20年の歴史から見えてくるセキュリティ診断の状況とこれから Webアプリケーション診断とプラットフォーム診断結果の傾向分析 1-1．54%のWebアプリと、32％のホストにMediumリスク以上の脆弱性あり 1-2．セキュリティ診断を実施するお客様の状況 1-3．検出された問題点の分析結果（Webアプリケーション診断） 1-4．検出された問題点
(レポート) 内製ツールを使ったチート診断・脆弱性診断 #denatechcon | DevelopersIO
はじめに 本ブログは2018年2月7日(水)に開催されたDeNA TECH CONFERENCE 2018のセッション、「内製ツールを使ったチート診断・脆弱性診断」のレポートです。 スピーカーは株式会社DeNAの汐田 徹也さん。 レポート 自己紹介 セキュリティエンジニア。 ミッション。 ほぼ全てのサービスの脆弱性診断。 オンラインモバイルゲーム、ゲームプラットフォーム、ECサイト、エンタメ系、オートモーティブ、コミュニティ、ヘルスケア... 設計のセキュリティ面のレビュー。 DeNAの脆弱性診断について セキュリティ部セキュリティ技術グループ。 エンジニアだけの組織、10人弱。 ほぼ全てのサービスの脆弱性診断を実施。 新規のゲームがリリースされる時には2周間程度貼り付け。 ネットワーク診断も実施。 診断チームと開発者の関わり方。 内製ならではの大きなメリット。 スケジュールを柔軟に設定可
各規制はセキュリティ診断の頻度をどのように定めているか？ - セキュリティコンサルタントの日誌から
2018/01/09 金融庁関連の話題を追加しました。 少し前ですが、２０１７年８月にJPCERT/CCが「Web サイトへのサイバー攻撃に備えて」という報告を発表して、セキュリティ診断・ペネトレーションテストの頻度について言及をしています。今回は、各レギュレーションがどのようについてどのように言及しているか整理を行いました。 今回は、各レギュレーションがどのようにセキュリティ診断の頻度を定めているか整理したいと思います。 各レギュレーションが定義する頻度 各レギュレーションが定義する脆弱性スキャン・ペネトレーションテストの頻度は以下の通りです（間違っていたらすいません）。これを見ると、少なくても年１回はペネトレーションテストをすることが求められていると考えられます。 JPCERT/CC JPCERT/CCは、「Web サイトへのサイバー攻撃に備えて」にて以下のように定義しています。この規
仕事始めは Windows Update から（例の Intel/AMD/ARM CPU 問題に関する追記あり）
（※最初はいつもの定例間の更新だと思っていましたが、いろいろとあって長く、ごちゃごちゃになってしまいました。簡単に言うと、例の CPU 脆弱性対策は、今回のセキュリティ更新＋対策済みファームウェアの更新が必要で、たぶん Windows Update でファームウェアが自動更新される Microsoft Surface と今後出てくるだろう対策済み CPU 搭載の最新 PC を除いて、Windows Update だけでは決して完了しないってこと。対応済み PC のチェック結果はこちら→に） 年の初めの Windows Update。なんでこんな時にというタイミングですが、毎月の定例（日本では第二火曜日の翌日）の更新の間に出ることがある、いつもの品質更新プログラムだと思います（月末に出ることもありますし、翌月の初めに流れることも。出ないことも）。帰宅直前の再起動にご注意。 基本的に、定例間の
CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog
2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx
macOS High Sierra の設定に関する注意喚起 | JPCERTコーディネーションセンター（JPCERT/CC）
各位 JPCERT-AT-2017-0045 JPCERT/CC 2017-11-29(新規) 2017-11-30(更新) <<< JPCERT/CC Alert 2017-11-29 >>> macOS High Sierra の設定に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170045.html I. 概要 海外の研究者により macOS High Sierra の設定に関する問題が公開されまし た。報告によれば、macOS High Sierra において、「ルートユーザを無効にす る」を設定している場合に、管理者アカウントである root ユーザを悪用でき る問題が指摘されています。 JPCERT/CC でも検証を行い、本問題を確認しています。 不特定多数のユーザで macOS High Sierraを使用している場合は、root ユ
パッケージの脆弱性管理サービスVeetaをリリースしました | ten-snapon.com
以前より個人で開発していたパッケージ脆弱性管理サービスVeetaをリリースしました。 現状はAWSで個人資金にて運用しているため、1オーガニゼーション5台までの制限がありますが、無料で利用できます Veetaのアーキテクチャは下記の通りです。 利用方法は、ドキュメントにも記載がありますが、以下の手順ですぐに始めることができます。 オーガニゼーションを登録する 認証トークンを発行する クライアントをインストールし、認証トークンを設定する この作業を行うだけで、クライアントであるVazがサーバ内のパッケージ情報を取得し、Veetaにアップロードし、自動的にスキャンしてくれます。 スキャンした結果はVeetaのコンソール上で確認することができ、脆弱性の詳細を確認したり、無視することができます。また、脆弱性の有無はレポート機能でメールやSlackに指定した時間に通知することが可能です。 解決したか
脆弱性分析のオートメーション化〜脆弱性と資産管理の一元化で脆弱性ハンドリングを効率的に〜
2015年 3月19日 JPCERT/CC POCミーティング ゲスト講演 「脆弱性分析のオートメーション化 ～脆弱性と資産管理の一元化で脆弱性ハンドリングを効率的に～」発表資料
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ペネトレーションテストが脆弱性診断の上位互換サービスであるという誤解 ～ セキュリティ標準化企業 SHIFT SECURITY 執行役員 松尾雄一郎に聞く | ScanNetSecurity
脆弱性診断を通じて見えてくるWebセキュリティ
https://www.janog.gr.jp/meeting/janog39/application/files/1814/8480/0344/janog39_thebestandgreatestDevSecOps_.pdf
賞賛、誤解、戸惑い、興味 ～ セキュリティ診断標準化を市場はどう受けとめたか | ScanNetSecurity
バグハンターが見てきたBug Bountyの7年 / LINE Developer Meetup #34 Security Bug Bounty
AWS活用支援サービスのオプションにWebアプリの脆弱性診断を追加（クラスメソッド） | ScanNetSecurity
