「このバンドやミュージシャンが好きなら、これらのバンドやミュージシャンも好きかもしれない」というのをAI（人工知能）が提案する音楽マップ「Music-Map」が話題に。マップ上、2つの名前が近ければ近いほど、両方のアーティストが好きである確率が高くなるという。これは、人工知能と新しいユーザーインターフェースの実験Gnod（Global Network of Discovery）の一環として作られたものです。 ■音楽マップ「Music-Map」 https://www.music-map.com/
DuckDuckGo（https://duckduckgo.com）はプライバシーの保護に重きを置いている検索エンジンのひとつである。 特筆すべきは、Bangという機能があって、探しものがとてもはかどる。 たとえば「!a 図書館」（ビックリマーク＋アルファベットのa＋スペース＋検索語）と入力するとAmazonを検索してくれる。 こんな風に「!＋何か」 で特定のサイトのみの検索ができる機能がBangである。 検索エンジンが使えなくなった（クズみたいなサイトが上位に来て、欲しい情報が見つからない等）と言われて久しいが、探すべきサイトにダイレクトで検索することで、この問題のかなりの部分が解決する。 よく使いそうなのは ! （キーワード） 最初の検索結果へ直接ジャンプ !i イメージ検索 !m 地図検索 !n ニュース検索 !v 動画検索 !w ウィキペディア検索 !pdf PDFファイルだけを検
私のセキュリティ情報収集法を整理してみた（2024年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2024年版）」を今年も公開します。 ■はじめに サイバー攻撃は国境を越えて発生するため、ランサムウェア、フィッシング、DDoS攻撃など、近年のサイバー脅威の常連となっている攻撃者（脅威アクター）が主に海外にいることを考えると、世界の脅威動向を理解することが年々重要になっています。 海外から日本の組織が受けるサイバー攻撃の多くでは、国際共同オペレーション等の一部のケースを除き、日本の警察が犯罪活動の協力者（出し子、買い子、送り子）を摘発することはあっても、サイバー攻撃の首謀者（コアメンバー）を逮捕するまで至るケースはほとんどありません。 誤解を恐れずに言えば、日本の組織は海外からの攻撃を受け続けているのに、海外で発生したインシデントや攻撃トレンドの把握が遅れ、対策が後手に回っているケースも多いように感じます。最
「習近平のID番号でユーザー登録すると…」ダメ警官が指導者の個人情報を転売、中国“最強監視社会”のショボい裏側 | 文春オンライン
「中国人民はみんな、18桁の身分証番号（ID番号、公民身份号碼）が割り当てられている。このうち、最初の6桁が戸籍登録地の地域番号で、次の8桁が生年月日。残る4桁は認証番号だが、そのうち1桁は性別で決定される。このルールはたとえ国家指導者だって例外じゃない。中国のネットユーザーの間で、習近平の身分証番号が特定されたのは2018年9月のことだった」 目の前の若者が喋り続けていた。彼は中国の反体制的なインターネットコミュニティ（通称「悪俗圏è sú quān」）の主要人物の1人で、広東省深圳市生まれの肖彦鋭（26）という。
小泉悠（@OKB1917） 背景 ウクライナ侵略が始まってから9ヶ月で、ロシア軍は戦車1465両、歩兵戦闘車1682両、装甲兵員輸送車259両、その他の装甲戦闘車両695両にも及ぶ膨大な装備品を喪失したと見られている(1)。開戦前の時点でロシア軍が保有していた装甲戦闘車両は戦車3417両、歩兵戦闘車4293両、装甲兵員輸送車7452両であり(2)、特に戦車の損害が極めて大きい。この結果、ロシア軍はウクライナにおける軍事作戦を継続するために予備保管されている旧式兵器を現役復帰させざるを得なくなっている。2022年10月に報じられたところによると、ロシアは旧式化したT-62M戦車など800両を急遽近代化改修して実戦投入する計画である(3)。 では、ロシアの予備兵器はこれまでにどの程度が現役復帰しているのだろうか。また、今後も膨大な損害に耐えて戦争を継続する能力はどの程度残されているのだろうか。
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
ウォーターゲート事件の内幕を描いた映画「大統領の陰謀」(1976)の一場面に、ワシントン・ポストの記者と、「ディープ・スロート」と呼ばれる情報提供者との印象的なやりとりがあります。 互いの表情もはっきりしない薄暗い駐車場で、事件の核心に早くたどり着きたいと焦る記者に、ディープ・スロートは短くこう告げます。 “Follow the money.”（カネの流れを追え） 「大統領の陰謀」「カネ」が政治権力の重要な資源であり、その流れを追うことが政治的現象の理解に資することは、昔も今も変わりません。 現在、政治資金パーティを巡る不透明な「カネ」のやりとりが問題になっていますが、私が政治にまつわる「カネ」を調べるきっかけになったのは、島根県議会の「政務活動費」の取材でした。 県議会のベテラン議員が不正な工作によって140万円を受け取っていたことを明らかにし、報道の翌日に議員が辞職という事態になりまし
私のセキュリティ情報収集法を整理してみた（2022年版） - Fox on Security
新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増しています。去年に引き続き、今年も絶対外したくない海外サイトからご紹介します。 サイト キタきつね寸評 1位 morningstar SECURITY 不動の1位です。ジャンルの広さ、情報の更新頻度、関連ソースの網羅性など、英語系のセキュリティニュースとしては群を抜いた、最良のまとめサイトです。 私は「Daily Security News（最も人気のあるセキュリティニュース）」（一番上）と「Security Blogs（セキュリティブログ）」（下から3つ目）を主にチェックしていますが、人によって興味が違うかと思いますので、「Malware/APT」「Exp
SNSのアカウントを見つけてくれるツール「Blackbird」のレビュースライドです。Read less
私のセキュリティ情報収集法を整理してみた（2023年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2023年版）」を今年も公開します。 ■インプットで参照している情報源（海外） ランサムウェア攻撃やフィッシング攻撃等、サイバー攻撃インシデントの多くでは、出し子、買い子、送り子といった犯罪活動の協力者などを除き、日本の警察に逮捕された容疑者はそれほど多くない事が、ニュース等の報道を見ていると分かるかと思います。海外から日本の組織が攻撃を受けているケースが多いと推定される中、自己防衛が重要であり、最近は脅威インテリジェンスを活用して攻撃の初期段階、初期兆候を重要視する企業も増えてきています。海外の主要セキュリティサイトの情報をいち早く把握する事で、脅威インテリジェンス並とまでは言えないかも知れませんが、国内サイトで報じられるまでの時差を稼ぐ事が可能になるケースもあり、当ブログでも有力海外ソースの発信情報をチェッ
違法サイト〈漫画村〉が閉鎖した一連の事件は記憶に新しい。その裏で、容疑者を突き止めたひとりの若きハッカーがいた。かつては自らも違法行為をおこなっていたが、そんな彼が、ホワイトハッカーへと転身した経緯について聞いた。 ネット上の悪意と賞賛は、根っこが同じなのかもしれない。煽り、クソリプ、誹謗中傷、粘着、特定といった攻撃や、〈いいね〉を求める行為の多くは、他者から認められたいという〈承認欲求〉によるもの。顔の見えない他人からの書き込みに一喜一憂し、リアルな生活を脅かされる恐怖に翻弄されてまで、その欲を満たそうとするのは、SNS全盛時代の病理といえる。一方、ネットの悪と正義を明確に分けられるのかも疑問だ。素朴な正義感から火がつき炎上し、徹底的にターゲットを叩きのめす光景が日々、繰り広げられている。 「特定されるのが嫌なので、自分の住まいや見た目も定期的に変えています。匿名でいたいんです」と、語る
Googleさん、ロシアの軍事施設を大公開しはじめる
OSINT UK @jon96179496 Foreign Policy Expert. Sourcing and Intelligence 👀 Signal to noise with a focus on Ukraine. OSINT UK @jon96179496 Google Maps has stopped hiding Russia’s secret military & strategic facilities. Allowing anyone in the public to view. Open sourcing all secret Russian installations: including ICBMs, command posts and more with a resolution of 0.5m per pixel. pic.twitter.com/K77
GitHub に漏れ出た内部コードを探す ~ 上場企業 3900社編 ~ - ぶるーたるごぶりん
全１回、このシリーズは今回で最後です！ TL;DR 上場企業 3900 社程に対して、すごく大雑把な「内部コード等の漏洩調査」を GitHub 上で行った 結果としては、重要度の高いものから低いものまで 10社ほどで漏洩が確認された 重要度の高いものとして、社外秘っぽそうなスプレッドシート、社員のハッシュ化パスワード(BCrypt)、 AWS Credential 等 「大雑把な」調査を行ったが、より精度の高い方法等について記事内にて触れていく 脅威インテルとか DLP みたいなエリアとかも、外部企業とかに頼るだけじゃなく「自分たちでも」頑張ってみるのがいいんだと思います GitHub Code Search ... すげえぜ！ Google Dorks ならぬ、 GitHub Dorks + GitHub Code Search でまだまだいろいろできるはず。 はじめに チャオ！ 今回は
No.309 ナラティブ（物語的）な言説にはご注意を - 京都大学大学院 経済学研究科 再生可能エネルギー経済学講座
. 本稿は上記の文章の引用から始めることとします。この論考は2021年9月に欧州で電力市場価格がじわじわと高騰し始め、メディアでさまざまな憶測が流れた時期に書かれたものです。日本語に翻訳されていないため、日本ではほとんど知られていないかもしれません。 この時期、例えば海外メディアでも「風が止んだ後に欧州のエネルギー価格が最高記録に達した」、「欧州の再生可能エネルギーがエネルギー危機をもたらした」などのセンセーショナルな見出しの記事が見られました(引用符内の日本語は筆者翻訳)。 このような主張は日本語メディアにも徐々に伝わり、例えば「『脱炭素先進国』のスペインがエネルギー危機に見舞われている。同国の風力発電の発電量が前年同月に比べ2割減るなど欧州の風が弱まったことが天然ガス価格高騰の発端の一つにもなった」、「風力が電源構成の約2割を占めるスペインでは9月の風力発電量が前年同月比20%減。風力
サマリ ハッキングAPI―Web APIを攻撃から守るためのテスト技法（2023年3月27日発売）を読んだ。本書は、Web APIに対するセキュリティテストの全体像と具体的なテスト方法を記載している。ペンテスターは、APIの検出、APIエンドポイントの分析、攻撃（テスト）を行う必要があり、そのために必要な情報がすべて記載されている。また、実習のためのツールと「やられサイト」を複数紹介し、具体的なトレーニング方法を解説している。単にツールやサイトの使い方の説明にとどまらず、本格的なペネトレーションテストの考え方を説明している。 本書の想定読者はAPIのペネトレーションテストを実施するペンテスター及びペンテスターを目指す人であるが、API開発者やウェブアプリケーション脆弱性診断員にとっても有益な内容を多く含む。 重要事項説明 本書の監修者の一人（洲崎俊氏）と評者は知人関係にある 評者が読んだ書
突然かかってきた電話の主は、元ウズベキスタン大使の河東哲夫さんだった。 河東さんは、外務省を辞めて評論家として活動していた。面識はなかったが、小泉さんが軍事雑誌に書くものを読んでいた。 「彼には、事実関係を丹念に拾い出すだけでなく、それが意味することを概念化する力があった。他の著者とはちょっと違っていたんです」 「一度、会って話さないか」と河東さんに誘われ、都内のホテルで食事をした。 「大学ではアカデミックな研究が出来なかった」と打ち明けた小泉さんに、河東さんは言った。「アカデミックではない研究をやればいいじゃないか」 そうか、大学でなくても研究はできるはずだ。ニッチなことをやれば仕事の需要はあるのかもしれない、と思うようになった。 2018年にパリの武器展示会「ユーロサトリ」で＝本人提供 2009年、河東さんの推薦で外務省国際情報統括官組織の専門分析員になった。ロシアの軍事関係の分析レポ
脆弱性診断につかえるツール集 - Qiita
概要 自宅サーバのセキュリティチェックをして見た。 脆弱性診断ツール nikto niktoは、Web アプリケーションセキュリティスキャナー。 $ sudo apt install nikto -y $ nikto -h localhost - Nikto v2.1.5 --------------------------------------------------------------------------- + Target IP: 127.0.0.1 + Target Hostname: localhost + Target Port: 80 + Start Time: 2019-08-23 22:26:00 (GMT9) ---------------------------------------------------------------------------
おはようございます。しなもんです。 今回はセキュリティ調査に使える便利なブラウザの拡張機能 (アドオン・エクステンション) をご紹介します。 こうした拡張機能の多くはこの世で唯一無二の機能を持っているわけではありませんが、普段から一番よく使う調査ツールである「Web ブラウザ」に直結するため、手間の節減や各種オンラインサービスへのアクセシビリティ向上に大きな効果を発揮する場合があります。 前提 Mitaka IP Address and Domain information Link Redirect Trace User-Agent Switcher Flagfox IP Domain Country Flag Wappalyser anonymoX Wayback Machine Exif Viewer/EXIF Viewer Pro Simple Translate Mouse Di
IIJ Technical NIGHTは、2020年9月11日にオンラインで開催した技術勉強会です。ここで熊坂氏が、SOC（Security Operation Center）のアナリストを支援するインシデント調査システム「CHAGE（チャゲ）」を社内で開発した理由と、その実装について紹介しました。 IIJのインシデント調査システム 熊坂駿吾氏（以下、熊坂）：IIJの熊坂から、社内で作成しているインシデント調査システムに関して紹介いたします。「インシデント調査システムが内製すぎる件」というところで、IIJの中で作成しているCHAGE（チャゲ）を紹介します。 まず私は2015年にIIJに新卒入社しまして、2018年度からSOCで業務を行っています。アナリスト的なことは詳しくやっていなくて、どちらかというとアナリストたちが業務を行うための環境の整備をしています。 具体的には、Windowsのメ
2023年3月28日、警視庁は家庭向けルーターを悪用した事件が発生しているとして、利用者に対して対策を推奨する注意喚起を行いました。ここでは関連する情報をまとめます。 サイバー攻撃の踏み台悪用受け注意喚起 注意喚起を行ったのは警視庁公安部 サイバー攻撃対策センター。 サイバー攻撃事案の捜査を行っていた中で確認された手口をうけ、従前から対応が呼び掛けられている対策方法だけで十分な対応が行えないと判断したことから新しい対応方法として、定期的な設定内容の確認を行うとする呼びかけがルーターのメーカーや関連団体を含めて行われた。 2023年3月28日 家庭用ルーターの不正利用に関する注意喚起 2023年3月28日 Wi-Fi（無線LAN）ルーターをお使いの方へ 【サイバー攻撃対策センター】 家庭用ルーターがサイバー攻撃に悪用される事案が発生しています。 サイバー攻撃対策センターは、複数の関係メーカー
政府情報システムにおける 脆弱性診断導入ガイドライン 2022（令和 4）年 6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-221 〔キーワード〕 セキュリティ、脆弱性、脆弱性診断 〔概要〕 政府情報システムの関係者が脆弱性診断を効果的に導入するための基準及 びガイダンスを提供する。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 - 初版決定 1 目次 １ はじめに ......................................................... 2 １.１ 目的とスコープ .............................................. 2 １.２ 適用対象 .................................................... 3 １.３ 位置づけ ...
本日は、あまり興味を惹く参考記事がなかったので、某サイトをネットサーフィンした件を書きたいと思います。 本日、作業ｃｙ・・勤務時間外に見ていたのは、このブログでも過去に何度か記事を書いた事がある、世界の監視カメラ映像を見れる某サイトです。 日本でも、サイト管理者集計ですが、本日時点で1,519台のカメラが掲載されており、オリンピック前に総務省が肝煎りで実施した、サイバー攻撃に悪用されるおそれのあるIoT機器の調査（NOTICE）の結果を嘲笑う様な掲載数を誇ります。 ※このほとんどが監視カメラのパスワード設定なし、又は脆弱なパスワード設定によるものとサイト管理者は公言しています。 URLリンクを貼るのは自己規制しますが、ググればすぐ出てくるサイト（ロシア系だったと思います）なので、業務をサボりたい休憩時間を有効に使いたい方は、たまに見てみると良いかと思います。 久しぶりに閲覧したのですが、ち
この記事は、新疆ウイグル自治区で中国政府により行われているイスラム教徒の強制収容に関して、BuzzFeed Newsが独自に実施した調査のパート3である。パート1はこちら、パート2はこちら、パート4はこちらから。 このプロジェクトは、オープン・テクノロジー基金、ピューリッツァー危機報道センター、ECFJ（Eyebeam Center for the Future of Journalism、ジャーナリズムの未来のためのアイビーム・センター）の協力のもと行われた。 2018年夏、中国の西端に位置する新疆ウイグル自治区では、ジャーナリストによる取材活動が以前にも増して難しくなっていた。 そうした状況下でBuzzFeed Newsは、衛星画像を活用してウイグル族などのイスラム系少数派が拘束されている施設を調査する方法を検討し始めた。 この調査を始めた時点で、そうした施設は1200ほど存在すると言
現地時間の2022年2月24日早朝に始まったロシアのウクライナ侵攻は、世界中の人々に大きな衝撃を与えました。ところが、ロシアやウクライナから数千km以上も離れたアメリカ・カルフォルニア州の研究者が、「Googleマップ」を使用して公式発表の数時間前にロシアの侵攻を察知していたことが報じられています。 I have spent my entire career doing #OSINT and even I think it’s weird that we were able to see the first signs of the invasion using @googlemaps’s traffic layer. https://t.co/XdAnVQfFdp— Dr. Jeffrey Lewis (@ArmsControlWonk) How Google Maps is track
こんにちは、はじめまして @daimat と申します。 Microsoft Security Advent Calendar 2022 4 日目にお邪魔させてもらいます。 はじめに セキュリティに携わるみなさま、突然ですが Microsoft Defender 脅威インテリジェンス(MDTI) というプラットフォームをご存じですか？ 今年の 8 月に公開されたばかりですので、まだ知らない。という方も多いと想像しますが、まずは次のページにアクセスしてみてください。 *Microsoft 365 または Microsoft アカウントが必要です。 接続するとこのような画面が表示されたと思います、これが Microsoft Defender 脅威インテリジェンスのトップ画面です。 このページの上段には脅威に関するおすすめの記事が表示されていますので、興味に応じていくつかの記事を開いてみてください
OSINTツール「GreyNoise」を使ってみる - セキュリティ猫の備忘録
こんにちは、セキュリティ猫です。 久しぶりに（ホントに久しぶりに）何かを書きたい欲が出てきたので、自分でも使い方の整理・機能の確認の意味を込めてツールの使い方を扱うことにしました。 今回は、調査で便利なツール「GreyNoise」について紹介していこうと思います。 GreyNoise はじめに 【注意事項】 GreyNoiseとは？ 機能 IPルックアップ GREYNOISEクエリ言語 (GNQL) タグトレンド その他の機能 主な使い方 まとめ はじめに 【注意事項】 本記事内で、GreyNoiseの使い方や調査方法について記載しています。本内容は脅威から守るために利用しているものであり、決して悪用することはしないでください。 GreyNoiseを利用することで外部組織の情報を得ることができます。しかしながら、ここで得られた情報をもとにアクセスは行わないでください。アクセスを行う場合は自
2022年12月16日に日本政府は「国家安全保障戦略」「国家防衛戦略」「防衛力整備計画」の安全保障関連三文書（安保三文書）を発表しました。この文書の中では幾つもの驚きの方針が記されていましたが、そのうちの一つが攻撃ヘリコプター（対戦車ヘリコプター）と偵察ヘリコプター（観測ヘリコプター）の廃止です。 陸上自衛隊については、航空体制の最適化のため、一部を除き師団・旅団の飛行隊を廃止し、各方面隊にヘリコプター機能を集約するとともに、対戦車・戦闘ヘリコプター（AH）及び観測ヘリコプター（OH）の機能を多用途／攻撃用無人機（UAV）及び偵察用無人機（UAV）等に移管し、今後、用途廃止を進める。その際、既存ヘリコプターの武装化等により最低限必要な機能を保持する。 出典：防衛力整備計画2022 | Ⅺ 最適化の取組 | 1 装備品 - 防衛省 攻撃ヘリコプターを廃止して無人攻撃機および輸送ヘリコプターの
ＳＮＳにあふれる戦地の映像、ＣＮＮの検証手順を担当者が解説
ニューヨーク（ＣＮＮ） ロシアのウクライナ侵攻について伝えるＣＮＮの報道の中で、ＳＮＳに投稿された動画は重要な役割を果たしている。だがその信憑（しんぴょう）性についてはどうやって判断しているのか。 例えばＣＮＮの調査チームが２月下旬に発見した映像。ロシアのヘリコプターが、ウクライナの首都キエフからわずか数キロの地点で立ち上る煙の上を低空飛行していた。 だがロシア軍がキエフにそれほど迫っていることは、まだ確認できていなかった。ＣＮＮは「ジオロケーション」と呼ばれる位置特定の手順を通じ、映像の撮影日時や信憑性を確認する必要があった。 ケイト・ポルグレス調査研究員は６日、ＣＮＮの番組内で、検証手順について説明した。この手順は、グーグルの地球儀サービス「グーグルアース」とロシア検索エンジンの同様のサービスを使い、似たような画像を探すリバース画像検索から始まる。同チームは空港と周辺地域に照準を絞り込
ウクライナ情勢をめぐり情報戦が激しさを増している。SNS（交流サイト）で流れた「ウクライナによるロシア、親ロシア派支配地域への侵入」とされる複数の映像は、フェイク動画の可能性があることが日本経済新聞や英調査報道機関ベリングキャットなどの分析で分かった。米欧はロシア側への攻撃を自作自演する「偽旗作戦」とみている。①「ウクライナ兵がロシア領内に侵入」映像ロシアのタス通信は21日、ロシア領内に侵入
OSINT (Uri) 🇺🇦 @UKikaski Zaluzhny, from his interview with the Economist: “It was my mistake. Russia lost at least 150,000 people killed. In any other country, such losses would have stopped the war. But not in Russia, where life is cheap. In this sense, Putin's Russian Federation is truly an absolute anomaly. Even in former times, human lives in Russia were not valued as cheaply as they are now
はじめに 近年、サイバーセキュリティに対する意識の高まりを感じている。 国会では「セキュリティ・クリアランス制度」なるものの検討が進んでおり、誰もが知っているような上場企業であれば当たり前のようにサイバーセキュリティ対策を専門で行う部門が設置されるようになってきた。 筆者が実際にクライアントと会話していても、以前のように「サイバーセキュリティ対策の必要性がわからない」というケースは減ってきており、「サイバーセキュリティ対策をとりあえずやりたい」という経営層が増えているようにも感じる。 そして、需要が高まれば供給側の企業も増えるのが資本主義の性(さが)である。 大手SIerやコンサルティング会社はこぞってサイバーセキュリティ分野への増員に力を入れている。 サイバーセキュリティ分野を得意としたベンチャー企業の上場事例も多数見受けられる。 そんな中、近年急速に拡大しているビジネスが24時間365
脆弱性を探す話 2023 - Qiita
最近年2回のサイボウズ以外はほぼバグバウンティしていない現状であるが、やる気が起きたときようにメモ 主にWebアプリに関すること 診断と自分で勝手に脆弱性を探す行為との違い 網羅性は全く必要ない 診断は網羅してないと怒られることがあるが好きな脆弱性だけ探せる。 期間が永遠 診断期間は自由なので後で気づいて頭を抱えることはない 攻撃に到るまでを説明する必要がある 「バージョンが古いのでダメです」だけでは許してもらえない 変なことすると逮捕される可能性がある 無闇にツール回すと不正アクセス禁止法に引っかかるので だがしかし海外勢は法律の違いもあるのか好きなサイトに気軽にツールを回すので太刀打ちできない 日本人としては許可されたところかローカルに環境作って攻撃するのが心理的安全性が高い 2023年度の傾向 コモディティ化が進む 自分だけしか知らないような脆弱性はない まだ知られていない手法もほぼ
こんにちは。今回はセキュリティ関連の調査で非常に便利なサイトである、皆様お馴染みのVirusTotalについて書いてみようと思います。もちろん、タイトルにある通り、「怪談」ですので、一般的な使い方のお話についてはしませんよー。 (2021/2/2 関西大学さんの注意喚起が参考になりますので、それを追記） VirusTotalの裏コマンド「VTENTERPRISE」 やや煽り気味のタイトルですが、VirusTotalには大きく二つの「サービス」があることはご存じでしょうか？一般の方が使うのはいわゆるVirustotalといわれるこちらです。こちらは無料で使えます。 他方、セキュリティ企業やセキュリティを重視する企業がお金（年額120万円以上/Person)を払う事で使えるのが、Virustotal Enterpriseというものです。 VirusTotal Enterpriseは無償のVir
![[怪談]VirusTotal沼のお話（対策含）｜__aloha__](https://cdn-ak-scissors.b.st-hatena.com/image/square/c442611a8468ca2b2ba8de498fb2c81ef38bca53/height=288;version=1;width=512/https%3A%2F%2Fassets.st-note.com%2Fproduction%2Fuploads%2Fimages%2F43478921%2Fpicture_pc_98ce7446417c6a1b618d3d5f3c51d4da.png)
気がついたら数年ぶりのBlog投稿でした。お手柔らかにお願いします。 さて、今回取り上げるのは、ドメインやサブドメイン、保有ネットワークを調査する手法（相手方に影響を与えない縛りです）を思いつくままに紹介していきます。ドキュメントとして纏まっているものもあまり見かけなかったので、重い腰を上げて書いてみました。この他にもこんな方法がある！などフィードバックを頂ければとても喜びますので、是非よろしくお願いします。 目次 <後編> ・サブドメインを調査する方法 ・IPアドレスを起点にサブドメインを探す ・公開ポートへのアクセス（Webポート） ・＜通常コンテンツの返却＞ ・＜エラーページの返却＞ ・＜リダイレクト＞ ・公開ポートへのアクセス（Webポート以外） ・証明書の確認 ・＜Webサーバの場合＞ ・＜SSL/TLSで保護されたプロトコルの場合＞ ・＜プロトコル内で暗号化(STARTTLS)
Search across a half million git repos. Search by regular expression.
世界を驚かせた日産自動車元会長カルロス・ゴーン容疑者の中東レバノンへの逃亡劇。 その一部始終が撮影された防犯カメラの画像やゴーン元会長の銀行口座の送金記録など東京地検特捜部の“極秘”捜査資料がネット上で閲覧できる状態になっていることがわかった。しかし、サイバーテロやウイルス感染で不正流出したわけではない。 キーワードは「知る権利」。 いったい何が起きているのか。日本とアメリカで事件担当記者が徹底取材した。 （社会部記者 橋本佳名美、アメリカ総局記者 及川利文）
アメリカ空軍がTwitterで、核弾頭と通常弾を搭載可能な「二刀流」の最新鋭ステルス爆撃機である「B-21レイダー」の写真を公開しました。この時、背景に映り込んだ星空から、ステルス爆撃機の位置を高い精度で割り出してしまったTwitterユーザーが登場しました。 以下は、アメリカ空軍が投稿したステルス爆撃機「B-21レイダー」のツイートです。投稿にはB-21が格納庫に駐機されている写真と、夜空を背景にした写真の2枚が添付されています。 Unveiled today, the B-21 Raider will be a dual-capable, penetrating-strike stealth bomber capable of delivering both conventional and nuclear munitions. The B-21 will form the backb
唐突ですが、私は旅行が好きです。学生時代は自転車にキャンプ道具一式を載せ、北海道を旅行したりしていました。旅行の目的はその土地の景色を見たり、美味しいもの食べたり。自分の知らない町の景色を見る事、わくわくしますよね？そんな私、社会人になると旅行に行くのも難しくなり…それを埋め合わすようにライブカメラをみて旅行気分を味わう、そんな楽しみを覚えていた時期がありました。 そんなわたし、これまでもこのblogで紹介をしてきましたshodanを使って、お仕事として様々な調査をしています。ある日、いつものように調査をしていたところ、不思議な光景に出会いました。今回はその不思議な光景について、話をしていこうと思います。 なお、これははじめに目的を明確にしておきたいと思いますが、本BlogにおいてはOSINTツールの使い方を実事例を通して紹介する事と、設定に不備または脆弱性があるカメラを使う事の危険性を啓
私が OSINT 問題を解いたり作問したりするときに使ったツールを備忘録としてまとめました．随時更新していきます． (本記事は Qiita 記事「普段の調査で利用する OSINT まとめ」をリスペクトして作成されました．) 検索エンジン テキスト検索 サービス名 コメント
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「このバンドが好きなら、これらのバンドも好きかも」をAIが提案する音楽マップが話題に - amass
探しものがはかどる検索エンジンDuckDuckGo、NDC順Bangリスト
ロシアはあとどれだけ戦えるのか？ ロシア軍東部軍管区における予備保管装備の衛星画像分析｜ユーリィ・イズムィコ
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
政治資金の不正を公開情報から解き明かしてみませんか？あなたもできる調査報道マニュアル｜NHK取材ノート
ネットストーカー御用達OSINTツールBlackBirdを触ってみた.pptx
漫画村を追い詰めたハッカーが語る〈ブラックハッカー〉から〈ホワイトハッカー〉への道
https://ip.guide/
[書評] ハッキングAPI ―Web APIを攻撃から守るためのテスト技法
【小泉悠】元大使の一本の電話、道を開く 目指すは「オタク」を束ねるプロジェクト：朝日新聞GLOBE＋
セキュリティ調査に役立つブラウザ拡張機能のまとめ - 午前７時のしなもんぶろぐ
「よろしい。ではDBも内製だ」 IIJのインシデント調査システムが内製すぎる件
家庭向けルーター不正利用を受けた警視庁の注意喚起についてまとめてみた - piyolog
政府情報システムにおける 脆弱性診断導入ガイドライン
自宅警備員ごっこで見つけるハッカーの痕跡 - Fox on Security
手がかりは中国地図サービスにあった「空白」。 ウイグル自治区の強制収容所拡大が明らかになるまで
研究者が「Googleマップ」の渋滞情報からロシアによるウクライナ侵攻を事前に察知していた
マイクロソフトが脅威インテリジェンスを外販してるってよ - Qiita
攻撃ヘリコプターを廃止する陸上自衛隊（JSF） - 個人 - Yahoo!ニュース
ロシア側動画に自作自演の跡 SNSで拡散、フェイクか - 日本経済新聞
「スターリンですら12万死んだら戦争やめたのに、プーチンすげーな」
【サイバーセキュリティ】SOCによる24時間365日監視は本当に必要なのか再考してみる - Qiita
[怪談]VirusTotal沼のお話（対策含）｜__aloha__
ドメインやサブドメインを調査する話（前編） | 技術者ブログ | 三井物産セキュアディレクション株式会社
grep.app | code search
ゴーン元会長逃亡事件 “極秘”捜査資料がネットに? | NHK | WEB特集
アメリカ軍の宣伝ツイートから「最新ステルス爆撃機」の写真を撮影した位置が特定されてしまう
監視カメラに潜むアクセス制御の不備(監視カメラ怖い😖)｜__aloha__
【CTF】OSINT問題で個人的に使用するツール・サイト・テクニックまとめ - Qiita