“脆弱性を突くような攻撃を防ぐ”だけではない「WAF」 「AWS WAF」の運用で現場が抱える課題
WAFで困るのは「直して」と言えないこと 清野隼史氏（以下、清野）：ここからはもうちょっと現場レベルまで踏み込んでいきます。その中でも特にWAFのところにフォーカスをしてエピソードを聞きたいなと思います。このトピックでは、AWSの運用で現場が抱えている課題みたいなところを聞きたいなと思っています。こちらも佐竹さんに聞いてもいいですか？ 佐竹陽一氏（以下、佐竹）：はい。「AWS WAF」もしくは「WafCharm」を使っているという視点で話します。先ほど臼田さんが「Security Hubを使っている方」というアンケートをして、半分ぐらいの方が手を挙げられたことに「そんなにいるの!?」とむしろちょっとビックリしています（笑）。 （一同笑） 「意識高!!」と思ったんですけど（笑）。こういう課題は、もしかしたら現場の方も持っていると思います。 セッションの1個目のところでBookLiveさんが「
Amazon Inspectorで脆弱性をらくらく検出 概要と初回セットアップ - Qiita
Amazon Inspectorとは？ Amazon Inspectorは、自動脆弱性管理サービスで、EC2インスタンス/Lambda関数/コンテナイメージ毎の「脆弱性」と「意図しないインターネット公開」をリアルタイムに自動検出し、脆弱性を視える化することができます。 脆弱性毎の対処の優先順位やスコア、CVE（共通脆弱性識別子）番号も表示され、 システム管理者は、OSの詳細情報を手作業で調査せずとも網羅的に具体的な脆弱性情報を自動収集でき、対処を進めるための情報も併せて得ることができます。 脆弱性の検出結果一覧の例 自分用に手順をメモっておきます。 Inspectorの初回セットアップ Inspectorをアクティブ化する 補足： リージョンサービスなので、リージョン毎にアクティブ化が必要。 最初のスキャンが開始される 最初のスキャンが終わっても、（IAMロール設定が不足しているため）実は
AWS ParallelCluster 3.7.2 がリリースされ Slurm の脆弱性に対応済みのバージョンとなりました（CVE-2023-41914） | DevelopersIO
AWS ParallelCluster 3.7.2 がリリースされ Slurm の脆弱性に対応済みのバージョンとなりました（CVE-2023-41914） 2023 年 10 月 14 日に AWS ParallelCluster 3.7.2 がリリースされました。 今回のアップデートで機能追加はありません。ですが、CVE-2023-41914 の脆弱性に対応しています。 Upgrade Slurm to 23.02.6. Release AWS ParallelCluster v3.7.2 · aws/aws-parallelcluster 2023 年 9 月 22 日に脆弱性対応で v3.7.1 がリリースされたのですが、また新たな脆弱性を抱え対応が必要になりました。 AWS ParallelCluster が抱えた脆弱性 ParallelCluster ご利用の対象者には 2023
AWS、インテル製CPUの脆弱性に「影響はない」 パフォーマンス低下の可能性には触れず
米Amazon Web Servicesは8月8日（現地時間）、米Intel製CPUで見つかった脆弱性「Downfall」について「AWSの顧客データとインスタンスは問題の影響を受けず、顧客の行動は必要ない」とコメントした。 Downfallは、Intelのメモリ最適化機能を悪用することで、CPU内部のレジスタファイルを意図しないソフトウェアに提供できてしまう脆弱性。発見者である米Googleの研究者ダニエル・モギミ氏によれば、同じコンピュータを共有する環境で、他ユーザーの他ユーザーのパスワード、電子メールのメッセージなどを盗める可能性があるという。クラウド環境でも同様に資格情報などを窃取できる恐れがあるとしている。 Intelは修正に向けたアップデートを提供済み。ただし、適用によりパフォーマンスの低下を招く可能性があり「ほとんどのワークロードに対するパフォーマンスへの影響は最小限だが、特
[アップデート] EC2 Image builderにてイメージパイプライン実行時に脆弱性スキャンが可能になりました。 | DevelopersIO
こんにちは、コンサルティング部の南です。 EC2 Image Builderのアップデートによってイメージパイプライン実行時にAMIとコンテナイメージの脆弱性スキャンが可能になりました。 アップデート概要 EC2 Image Builderを使用して、イメージパイプライン実行時にAMIとコンテナイメージを簡単にスキャンし、CVE (Common Vulnerabilities and Exposures) を検出できるようになりました。 以前よりInspector Classicにてテストコンポーネントにスキャンを行うカスタムクリプトを設定することで、スキャンすることは不可能ではなかったんですが、今回のアップデートにてInspector V2を使って簡単にスキャンを行うことが出来ました。 仕組みについて EC2 Image Builderの内部動作について再確認してみましょう。 パイプライ
![[アップデート] EC2 Image builderにてイメージパイプライン実行時に脆弱性スキャンが可能になりました。 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/287133388bd7610adba406dc0df8e612c9b71f5c/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2022%2F08%2Famazon-ec2-image-builder.png)
脆弱性診断ツール「VAddy」、Auth0／AWS Cognito／Azure AD B2CなどのIDaaSを利用したWebアプリケーションも検査可能に サーバー所有者確認スキップ機能のβ版を本日リリースしました | VAddy クラウド型Web脆弱性診断ツール
Web脆弱性診断ツール「VAddy」TOP ＞ 株式会社ビットフォレスト（東京都千代田区 代表取締役 高尾 都季一 以下、ビットフォレスト）は、クラウド型Web脆弱性診断ツール「VAddy（バディ）」において、本日、検査対象サーバー所有者確認スキップ機能のβ版をリリースしました。本機能のリリースによってAuth0、AWS Cognito、Azure AD B2Cといった第三者が提供する認証基盤を利用するWebアプリケーションへも検査が可能になります。 ■新たにリリースされた機能の概要 ブラックボックス型脆弱性診断（DAST）ツールであるVAddyでは、診断の実行前に診断対象のWebサーバーの所有者確認を行う必要があります。これは、お客様が第三者のWebサーバーに対して許可なく診断することを防ぐためです。 しかしながら、診断対象がIDaaSなどの外部の認証サービスを利用するWebアプリケーシ
AWSや主要クラウドサービスで利用されるSDKに27件の脆弱性が発見される
by Web Summit インターネットまたはLAN経由でUSBデバイスを共有したりアクセスしたりするためのアプリケーションである「USB over Ethernet」のソフトウェア開発キット(SDK)に、27もの脆弱性が存在することが指摘されました。脆弱性を抱えるSDKは、Amazon Web Services(AWS)を含む複数のクラウドサービスに利用されています。 USB Over Ethernet | Multiple Vulnerabilities in AWS and Other Major Cloud Services - SentinelOne https://www.sentinelone.com/labs/usb-over-ethernet-multiple-privilege-escalation-vulnerabilities-in-aws-and-other-m
XSS in the AWS Console
XSS in the AWS ConsoleJune 3, 2021As I had posted about on Twitter, I had recently started a side project to fuzz the AWS API. This was the logical next step to my previous work on the subject. To support it, I’ve had to build my own library for manually crafting AWS API requests, and mutating them. I think it would have been a very fruitful research path to go down, however I managed to fuzz my w
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性管理クラウド「yamory」、AWSアカウントとの連携のみでAWS内の網羅的な脆弱性管理を実現する新機能を提供