CircleCI 2023年1月4日セキュリティインシデントに関するインシデントレポート
2023年1月4日、当社はお客様へセキュリティインシデントアラートを発信しました。本文では、本インシデントについて何が起き、何がわかったのか、そして今後のセキュリティ体制を継続的に改善していくための計画について説明いたします。 初めに、このインシデントによりお客様の業務に支障をきたしたことを、心よりお詫び申し上げます。また、当社が調査を行っている間、シークレットのローテーションや無効化を含め、お客様やコミュニティの皆様が柔軟に対応してくださったことに、感謝申し上げます。 まだ対策をとられていないお客様は、お客様のサードパーティーシステムやデータストアへの不正アクセスを防止するため、早めの対策をお願いいたします。責任を持った情報公開を念頭に、スピードと調査結果との整合性のバランスを追及した結果として、本日本インシデント レポートをお届けします。 インシデントレポート目録 何が起きたのか 攻撃
私のセキュリティ情報収集法を整理してみた（2023年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2023年版）」を今年も公開します。 ■インプットで参照している情報源（海外） ランサムウェア攻撃やフィッシング攻撃等、サイバー攻撃インシデントの多くでは、出し子、買い子、送り子といった犯罪活動の協力者などを除き、日本の警察に逮捕された容疑者はそれほど多くない事が、ニュース等の報道を見ていると分かるかと思います。海外から日本の組織が攻撃を受けているケースが多いと推定される中、自己防衛が重要であり、最近は脅威インテリジェンスを活用して攻撃の初期段階、初期兆候を重要視する企業も増えてきています。海外の主要セキュリティサイトの情報をいち早く把握する事で、脅威インテリジェンス並とまでは言えないかも知れませんが、国内サイトで報じられるまでの時差を稼ぐ事が可能になるケースもあり、当ブログでも有力海外ソースの発信情報をチェッ
パスワード管理/MFA管理の戦略
自分のパスワードやMFA(多要素認証)の管理方法についてまとめた記事です。 パスワード管理とTOTP(Time-based One-time Password)の管理として1Passwordを使い、MFA(多要素認証)の2要素目としてYubiKeyを2枚使っています。 パスワード管理とMFA管理を安全で使いやすくするのはかなり複雑で難しいため、完璧にやるのが難しいです。 そのため、その難しさから二要素認証を設定するべきアカウントも手間などから設定を省いてしまったり、管理方法に一貫性がありませんでした。 この記事では、パスワード管理/MFA管理の戦略を決めることで、どのサイトのどのアカウントのパスワード管理をあまり頭を使わなくてもできるようにするのが目的です。利便性と安全性のバランスを意識はしていますが、この記事のやり方が正解ではないので、各自の目的に合わせて読み替えると良いと思います。 用
河野太郎氏が激怒「役所でZoomは制限」なのが中国リスクだけでない残念な事情
1979年生まれ。京都大学経済学部卒業。国会議員秘書を経てプレジデント社へ入社、プレジデント編集部配属。経済誌としては当時最年少でプレジデント編集長就任（2020年1月）。2021年7月に独立。現在に至る。 Twitter → https://twitter.com/ogurapunk CONTACT → https://k-ogura.jp/contact/ ＤＯＬ特別レポート 内外の政治や経済、産業、社会問題に及ぶ幅広いテーマを斬新な視点で分析する、取材レポートおよび識者・専門家による特別寄稿。 バックナンバー一覧 河野太郎デジタル相は以前、オンライン会議ツール「Zoom」を仕事で使えないことに対して、Twitter上で怒りをあらわにしていた。その後、国会議員と各省庁のやりとりなど一部で解禁の動きがあったものの、なお利用は制限されている。理由の一つは、海外でも懸念が伝えられる「中国リス
セキュリティツールの評価は難しい - knqyf263's blog
前から思ってたことをちょっと書かずにいられなくなったのでポエムを書きました。 背景 問題 検知している方が正しいように見えがち 条件を揃えるのが難しい 環境の再現が難しい 検知数が多い方が良さそうに見える 正解かどうかの判断が難しい カバー範囲の正確な見極めが難しい 検知されないほうが嬉しい まとめ 背景 お前誰だよってなるかもしれないので書いておくと、Trivyという脆弱性スキャナーのメンテナをやっています。 github.com とある有名な方による以下のツイートがありました。 I just discovered, during @cloudflare #SecurityWeek no less, that Trivy (the vuln scanner) doesn't detect known issues in Alpine images. Including a critica
富士通のプロジェクト情報共有ツール「ProjectWEB」への不正アクセスについてまとめてみた - piyolog
2021年5月25日、富士通はプロジェクト情報共有ツール「ProjectWEB」を利用する一部のプロジェクトに対し不正アクセスがあり、ツール内で保管された情報が窃取されたことを発表しました。ここでは関連する情報をまとめます。 情報流出確認されシステム運用停止 不正アクセスが確認されたProjetWEBは社内外の関係者（同社グループ会社、顧客、業務委託先等）とインターネット上で情報共有するサービス。ライブラリ、予定表、Todo管理、ドキュメント管理等の機能で構成される。富士通のデータセンターで稼働。利用実績は公表されていないが、数千プロジェクトで利用と報じられている。（平成21年時点で3000か所で利用）*1 富士通が不正アクセスとみられる痕跡を確認したのは5月6日。調査の結果、流出事実が確認されたことから25日にシステム運用を停止している。富士通社内への不正アクセスは確認されていない。*2
セキュアにGoを書くための「ガードレール」を置こう - 安全なGoプロダクト開発に向けた持続可能なアプローチ - Flatt Security Blog
The Go gopher was designed by Renee French. (http://reneefrench.blogspot.com/) The design is licensed under the Creative Commons 3.0 Attributions license. 種々の linter が様々なプロダクトの品質を高めてきた、というのは疑う余地のない事実です。実装の初歩的な問題をエディタ内や CI/CD パイプライン中で機械的に検出できる環境を作れば、開発者はコーディングやコードレビューの邪魔になる些末な問題を早期に頭から追い出し、本質的な問題に集中できます。 また、そのような環境づくり（e.g. linter のルールセットの定義、組織独自のルールの作成、…）は、まさに開発組織のベースラインを定義する作業として捉えることができます。一度誰かが定義
チート対策をするには何をすべきなのか？セキュリティソリューション開発会社DNPハイパーテックにチートの実態と性質を訊く（後編） - AUTOMATON
ホーム 全記事 インタビュー チート対策をするには何をすべきなのか？セキュリティソリューション開発会社DNPハイパーテックにチートの実態と性質を訊く（後編）
チートを防ぐには何が必要なのか？セキュリティソリューション開発会社DNPハイパーテックにチートの実態と性質を訊く（前編） - AUTOMATON
ホーム 全記事 インタビュー チートを防ぐには何が必要なのか？セキュリティソリューション開発会社DNPハイパーテックにチートの実態と性質を訊く（前編）
「Whoppix」を使ってペネトレーションテストをやろう
最近、十分なセキュリティ対策を施しているにもかかわらず、それが破られて不正アクセスされてしまった事件がいくつか起こっている。と、このセリフは1年後にこの記事を読んでも有効かもしれないと思うぐらい、こういった事件は日常茶飯事になっている感がある。 セキュリティ対策においては、“十分だ”という線を引くのは非常に難しい。リスクの洗い出しや、それらのリスクに対応できるようにすることは大変な仕事になる。 外部から弱点を発見するペネトレーションテスト セキュリティ対策にもさまざまなものがあるが、その中の1つにペネトレーションテスト（penetration test）という方法がある。これは、既知の攻撃方法や侵入方法などをシステムに対して実際に行うことで、セキュリティ上の弱点を発見するテスト方法である。 この手法を用いれば、システムへの侵入や攻撃に利用されてしまいそうなセキュリティホールや設定の不備など
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ネットストーカー御用達OSINTツールBlackBirdを触ってみた.pptx
【CTF】OSINT問題で個人的に使用するツール・サイト・テクニックまとめ - Qiita
Googleの「FLoC」、自分のブラウザーで有効になっているか確認できるツールが登場【やじうまWatch】
IPA、サーバーログを解析して攻撃の痕跡を検出する「iLogScanner」v4.0を無償公開
tundaowata.info
IDEA * IDEA