新卒の学生によるセキュリティエンジニア志望の就活話 - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、新卒の学生によるセキュリティエンジニア志望の就職活動について、morioka12 の就活話も含めて簡単に紹介します。 1. 始めに 想定読者 筆者のバックグラウンド 2. セキュリティエンジニアとは 脆弱性診断・ペネトレーションテスト 3. セキュリティエンジニア志望の就活 3.1 企業候補 セキュリティイベント JNSA 情報セキュリティサービス台帳 JVN 一般社団法人日本ハッカー協会 公務員 3.2 ユーザー企業・ベンダー企業 3.3 企業ホームページ 技術ブログ 3.4 求められるスキル 4. morioka12 の就活話 4.1 気になる企業をリストアップ 4.2 カジュアル面談 4.3 新卒採用 5. セキュリティエンジニアを目指す就活生へ (まとめ) 5.1 セキュリティ業界を知ろう 5.2 セキュリティイベント
バグバウンティにおけるBug Bounty Hunterの実態調査まとめ - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、HackerOne などのバグバウンティプラットフォームで脆弱性を探す Bug Bounty Hunter (Ethical Hacker)についての調査結果を簡単にまとめて紹介します。 1. 始めに 2. Hunter 目的 年齢 形態 バグバウンティ歴 学習 3. Bounty 報酬金 使い道 4. Research 時間 ツール 脆弱性 5. Target 対象 選ぶ基準 6. 終わりに バグバウンティ入門(始め方) References なお、本稿では、バグバウンティで脆弱性を探す人を統一して「Hunter」と称します。 2. Hunter 目的 Hunter がバグバウンティで脆弱性を探す目的(動機)としては、68%の Hunter が「挑戦するため (To be challenged)」とわかります。 その次に、「
バグバウンティ入門(始め方) - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティの入門として、主に Web アプリケーションを対象にした脆弱性の発見・報告・報酬金の取得について紹介します。 1. 始めに 免責事項 想定読者 筆者のバックグラウンド Start Bug Bounty Bug Bounty JP Podcast 2. バグバウンティとは バグバウンティプラットフォーム Program Type Private Programs VDP (Vulnerability Disclosure Program) Asset Type 3. プログラムの選び方 Scope OoS (Out of Scope) 4. 脆弱性の探し方 (初期調査編) Subdomain Google Dorks Wayback Machine Wappalyzer JS Analyze [Blog] Java
log4shell 調査レポート in Flatt Security 応募課題
はじめに この記事は、Flatt Security サマーインターン in 2023 に参加した際に、log4j の任意コード実行脆弱性(CVE-2021-44228)について調査した際のレポートです。 このレポートをサマーインターンの応募課題として提出しました。 もともとは参加体験記の記事に含める予定でしたが、長くなりすぎたため、別記事として投稿することにしました。 読みやすいように、独自でセクションを分けています。 間違い等あれば、コメントで教えていただけると幸いです。 概要 私が興味のある脆弱性は、log4shell です。 CVE 番号は CVE-2021-44228 です。 以下に、JVN のリンクを示します。 この脆弱性は、Apache log4j と呼ばれる Java 向けのロギングプログラムに存在した脆弱性です。このプログラムが動作しているサーバに特殊なリクエストを送信する
2022年に公開されたセキュリティ関連文書まとめ - FFRIエンジニアブログ
はじめに セキュリティサービス部セキュリティエンジニアの松原です。 昨年、セキュリティ関連の文書をまとめた記事を公開しました。サイバー空間をめぐる脅威の情勢は、毎年目まぐるしく変化しています。 そこで本記事では、最新のセキュリティ動向として 2022 年に、以下の 4 つの政府機関と 12 つのセキュリティ関連団体等が公開した、セキュリティ関連の文書についてまとめました。 政府機関 内閣サイバーセキュリティセンター (NISC) 警察庁 サイバー警察局 デジタル庁 総務省 サイバーセキュリティ統括官 セキュリティ関連団体 NICT サイバーセキュリティ研究室 CRYPTREC JPCERT コーディネーションセンター (JPCERT/CC) 情報処理推進機構 (IPA) 日本ネットワークセキュリティ協会 (JNSA) フィッシング対策協議会 セーファーインターネット協会 (SIA) 日本ク
GitHub に漏れ出た内部コードを探す ~ 上場企業 3900社編 ~ - ぶるーたるごぶりん
全１回、このシリーズは今回で最後です！ TL;DR 上場企業 3900 社程に対して、すごく大雑把な「内部コード等の漏洩調査」を GitHub 上で行った 結果としては、重要度の高いものから低いものまで 10社ほどで漏洩が確認された 重要度の高いものとして、社外秘っぽそうなスプレッドシート、社員のハッシュ化パスワード(BCrypt)、 AWS Credential 等 「大雑把な」調査を行ったが、より精度の高い方法等について記事内にて触れていく 脅威インテルとか DLP みたいなエリアとかも、外部企業とかに頼るだけじゃなく「自分たちでも」頑張ってみるのがいいんだと思います GitHub Code Search ... すげえぜ！ Google Dorks ならぬ、 GitHub Dorks + GitHub Code Search でまだまだいろいろできるはず。 はじめに チャオ！ 今回は
urlscan.ioとShodanでお手軽にマルウェアの通信先サーバを調べる | IIJ Engineers Blog
セキュリティ本部データ分析課所属。2020年新卒入社。情報分析基盤のセキュリティログ分析を行う傍ら、マイニングマルウェアやIoTマルウェアを調査しています。 はじめに こんにちは、セキュリティ本部の森下です。 普段は情報分析基盤でセキュリティログの分析を行う傍ら、感染活動の動向を把握するためにマイニングマルウェアやIoTマルウェアを調べたりしています。 一般的にマルウェアに感染すると、C2サーバに通信して攻撃の指令を受けたり、マルウェア配布サーバからさらに別のマルウェアをダウンロードしてきたりします。 セキュリティ製品などによる検知を回避するために、マルウェアの通信先サーバは短期間で変わっていくことが多く、追跡し続けることが必要です。 マルウェアの通信先サーバでは、一般的なサーバとは異なる特徴が表れることがあり、その特徴を把握することで、新しく使われるサーバを迅速に発見できる可能性がありま
ランサムウェア／攻撃グループの変遷と繋がり (Rev.2) | 技術者ブログ | 三井物産セキュアディレクション株式会社
本図は世界で確認されてきた主なランサムウェア攻撃グループ(※1)のうち、「リブランド」を軸とした複合的視点による組織間の繋がりを図示したものである(※2)。 本Rev.2は、昨年2022年5月に公開し好評を頂いたRev.1から、日々移り変わる様々な観点の関連情報を多数追加し大きくアップデートした更新版となる。現在までに確認されてきたランサムウェア攻撃グループに関するあらゆる繋がりを可能な限り盛り込んだ。 本図から、ランサムウェア攻撃グループの多くがお互いに何からの関連性を持ち活動している背景が浮かび上がる。CONTIやBABUKをはじめソースコードの流出やグループの解散／テイクダウンなどの影響が他の新種出現へ顕著に繋がる流れが見て取れる。一方、NIGHT SKYなどのように、周辺グループとの繋がりから特定国に帰属する攻撃者像が浮き上がってくるケースもある。全体を通して見え隠れするアフィリエ
令和5年「内外情勢の回顧と展望」の公表について | 公安調査庁
令和４年１２月１９日（月）に公表した「内外情勢の回顧と展望」（令和５年版）をアップロードいたしました。 本書では、冒頭に特集１として、「ロシアによるウクライナ侵略をめぐって揺れ動いた世界」と題し、今次ウクライナ侵略の経過を振り返るとともに、現時点における我が国や国際社会へ及ぼす影響について記述しています。続く特集２では、「経済安全保障関連」と題し、重要技術・製品等の確保をめぐって対立が続く米中関係や、経済安全保障に関する公安調査庁の取組について述べたほか、特集３では、「サイバー空間の広がりに伴う脅威の拡散」と題し、サイバー空間における様々な脅威などについて記述しています。 このほか、国外情勢として、北朝鮮などの周辺国の諸情勢や、国際テロ、大量破壊兵器関連物資等をめぐる動向などを、また、国内情勢として、オウム真理教をはじめとする我が国の公共の安全に影響を及ぼすおそれのある国内団体・勢力の諸動
【解説】世界人口、15日に80億人到達 国連見通し
世界の人口の推移と将来推計（高位、中位、低位）を示した図（2022年11月4日作成）。(c)ANIBAL MAIZ CACERES, JULIA HAN JANICKI / AFP 【11月13日 AFP】国連（UN）の報告書によると、世界の人口は15日に80億人に達する見通しだ。増加ペースは鈍化するものの向こう数十年にわたり増え続けるが、地域間の人口動態格差は広がると予想されている。報告書の要点を紹介する。 ■増加ペースは鈍化へ 報告書は国連経済社会局（DESA）人口部がまとめた。1950年時点の世界人口は25億人だったが、それから3倍以上に増えたことになる。 ただ、国連人口基金（UNFPA）のレイチェル・スノー（Rachel Snow）氏はAFPに対し、増加率は1960年代初めにピークに達した後、大幅に低下していると語った。 年間増加率は1962～1965年は2.1％だったが、2020
Rを用いた データ解析の基礎と応用2022
Step 3：データを可視化しよう！ データ可視化の重要性 ggplot2でデータを眺めよう geom_histogram ヒストグラム geom_density 密度分布 geom_point 散布図 aes(color) 色を表現する facet_wrap, facet_grid グラフを分ける geom_boxplot 箱ヒゲ theme_*** 全体の雰囲気を変える color（aesの外） 線を特定の色にする fill（aesの外） 特定の色で塗りつぶす color（aesの中） 線を値に応じた色にする coord_cartesian 軸の範囲を変える labs タイトルや軸ラベルを書く／書き換える theme 文字の大きさなどを細かく設定 ggsave() 図をファイルとして保存 その他のグラフの描き方を知りたい方は ggplot2公式サイト Jaehyun Songさんの解説
ランサムウェア攻撃が前年比80%増 - ゼットスケーラーが調査
ゼットスケーラーは7月14日、米Zscalerが6月2日(現地時間)に発表した同社の調査チーム「ThreatLabz(スレットラボ・ゼット)」による年次調査レポート「2022年版 ThreatLabzランサムウェアレポート(日本語版)」の抄訳を発表した。これによると、ランサムウェア攻撃が2021年に比べて80%増加したという。 同レポートでは2022年のランサムウェアの主要トレンドとして、二重脅迫、サプライチェーン攻撃、RaaS(ランサムウェア・アズ・ア・サービス)、リブランディング、地政学的な原因による攻撃を挙げている。 また、Zscaler Zero Trust Exchange全体で1日あたり2000億件以上のトランザクションと1億5000万件のブロックした攻撃を処理するセキュリティ・クラウドから収集した1年分以上のデータを分析し、サイバー犯罪者から最も攻撃されている業界、二重脅迫や
「新型コロナウイルスの免疫は数週間しか続かない」という新たな研究結果
新型コロナウイルス感染症(COVID-19)の一部の患者で、ウイルスに対する抗体がわずか数週間で消失したため、新型コロナウイルスに対する集団全体の免疫は「達成不可能」である可能性が示されたという報告書が発表されています。 Prevalence of SARS-CoV-2 in Spain (ENE-COVID): a nationwide, population-based seroepidemiological study - The Lancet https://www.thelancet.com/journals/lancet/article/PIIS0140-6736(20)31483-5/fulltext Spain's coronavirus antibodies study adds evidence against herd immunity - CNN https://e
ネット上の悪評を消す会社が虚偽のDMCAと法的通知で顧客に不利な記事を削除する方法が白日の下にさらされる
政治家や実業家からのオファーを受けて、ネット上から顧客の不利な情報を削除しようとたくらむ企業がどのような活動を行っているのかが、デジタル権利やデータの保護を専門とするNGOのQuriumによって明らかになりました。 Dark Ops Undercovered: Episode I – Eliminalia – Qurium Media Foundation https://www.qurium.org/forensics/dark-ops-undercovered-episode-i-eliminalia/ Exposed documents reveal how the powerful clean up their digital past using a reputation laundering firm - Rest of World https://restofworld.or
7万人以上のITエンジニアの調査結果、好きな言語は「Rust」、DBは「PostgreSQL」、開発環境はVSCodeを抑えて「Neovim」がトップに。Stack Overflow 2022 Developer Survey
7万人以上のITエンジニアの調査結果、好きな言語は「Rust」、DBは「PostgreSQL」、開発環境はVSCodeを抑えて「Neovim」がトップに。Stack Overflow 2022 Developer Survey 世界でもっとも大きなITエンジニアのコミュニティサイトの1つである「Stack Overflow」などを運営するStack Overflowは、約7万3000人のITエンジニアにアンケートを行った結果をまとめた「2022 Developer Survey」を発表しました。 The results are in! Our annual developer survey is here with insights from over 73,000 developers. From the most loved and loathed programming langua
「予測されやすいパスワード」有名サイト75％で許可 米プリンストン大が警鐘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米プリンストン大学の研究チームが発表した「Password policies of most top websites fail to follow best practices」は、Webサイトで新しくパスワードを設定する際にユーザーが保護される仕様になっているかを調査し考察した論文だ。世界で最も人気のある英語圏のWebサイト120のパスワードポリシーを調査した。 結果は、120サイト中13％しかベストプラクティスではなかった。具体的には、75％のWebサイトが「abc123456」や「P@$$w0rd」のような最も推測されやすいパスワードの選択を許可しはじかなかった。 また45％が数字
社内のSlack通知アプリをRustで実装した - STORES Product Blog
データチームの@komi_edtr_1230です。 突然ですが、heyがメインで使ってるプログラミング言語は何か知っていますでしょうか？ heyはECと決済、予約など複数事業の事業を展開しているのですが、ECと予約はRuby (+ Rails)で決済はJavaを使っています。 また、アカウント共通基盤ではGoを使っています。 今回データチームでは事業成績を日次でSlackに通知してくれるアプリをRustで開発しました。 この記事ではどのようにして開発を進めたのか、ツラいポイントはなんだったか、何が良かったかなどについてまとめます。 何を作ったのか 今回作ったSlackアプリはどのような要件を抱えていたかというと、 様々な項目についてのデータを取得 Slackに投稿できるようJSONを整形 日次で稼働する(CRON Job) というような具合でした。 現在heyのSlackでは、以下のように
「Python」と「Google Colaboratory」で株価データ分析に挑戦
「Python」と「Google Colaboratory」で株価データ分析に挑戦：「Python」×「株価データ」で学ぶデータ分析のいろは（1） 日々変動する株価データを題材にPythonにおけるデータ分析のいろはを学んでいく本連載。第1回はPythonを実行する環境とデータの前準備について。 はじめに 連載第1回は「Google Colaboratory」でサンプルプログラムを実行するための環境を用意する方法や利用するPythonのライブラリを説明します。「Google Chrome」と「Googleアカウント」を用意して読み進めてください。 なお、連載の趣旨がデータ分析であるため、Pythonの言語仕様や文法の詳細を割愛する場合があることをご了承ください。 Google Colaboratoryの準備 Google Colaboratoryとは、Googleが提供するブラウザ上でPy
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
テレビ見逃し配信は「TVer」が定番 MMD調査
サッカーワールドカップ日本代表戦から見る私たちの基盤トラフィック推移 - DMM inside
