実はそんなに怖くないTRACEメソッド
Cross-Site Tracing(XST)という化石のような攻撃手法があります。「化石」と書いたように、既に現実的な危険性はないのですが、XSTに関連して「TRACEメソッドは危険」というコメントを今でも見ることがあります。 このエントリでは、XSTという攻撃手法について説明し、XSTおよびTRACEメソッドについてどう考えればよいかを紹介します。 TRACEメソッドとは HTTP 1.1(RFC2616)では、8種類のメソッドが定義されています。GET、POST、HEADなどはおなじみのものですが、それ以外にPUT、DELETE、OPTIONS、TRACE、CONNECTの5種があります。 このうち、TRACEメソッドは、HTTPリクエストを「オウム返しに」HTTPレスポンスとして返すもので、以下のようにGET等の代わりにTRACEとしてWebサーバーにリクエストします。 TRACE
スキル0から1年間でマルウェア解析を習得した学習方法 - the_art_of_nerdのブログ
みなさん、こんちにはmです。 今回は私が1年の期間でマルウェア解析のスキル0から習得するまでに取り組んだ方法をまとめました。 初めに開始時のスキルや1年間でかけたコスト、スケジュールなどを共有します。 開始時のスキルなど 表層解析、動的解析、静的解析の違いもあまり理解していない プログラミングはPythonを学び始めた程度 低レイヤーの知識なし アセンブリの知識なし Windowsアプリケーション開発の経験なし SOCアナリストとしてブルーチームの知識は多少 脆弱性診断の経験も（深くはないが）多少 エンジニア歴7、8ヶ月目くらい ざっくりですが、このようにマルウェア解析に絡んでくる知識はほぼ0でした。 学習にかけたトータルコスト 書籍：約5万円 オンライン教材：12万円 約17万円近く1年間に使いましたが、お金で直接スキルは買えないので必要経費です。 なお、オンライン教材の12万円について
セキュリティエンジニアを3年続けて分かったおすすめ勉強法
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
私のセキュリティ情報収集法を整理してみた（2024年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2024年版）」を今年も公開します。 ■はじめに サイバー攻撃は国境を越えて発生するため、ランサムウェア、フィッシング、DDoS攻撃など、近年のサイバー脅威の常連となっている攻撃者（脅威アクター）が主に海外にいることを考えると、世界の脅威動向を理解することが年々重要になっています。 海外から日本の組織が受けるサイバー攻撃の多くでは、国際共同オペレーション等の一部のケースを除き、日本の警察が犯罪活動の協力者（出し子、買い子、送り子）を摘発することはあっても、サイバー攻撃の首謀者（コアメンバー）を逮捕するまで至るケースはほとんどありません。 誤解を恐れずに言えば、日本の組織は海外からの攻撃を受け続けているのに、海外で発生したインシデントや攻撃トレンドの把握が遅れ、対策が後手に回っているケースも多いように感じます。最
SDDLで学ぶWindowsのアクセス制御 - ラック・セキュリティごった煮ブログ
北原です。 今回は、Windows OSを守るセキュリティ機能の中でも重要な役割を担う、アクセス制御に関する話題を解説します。 UnixやLinuxでは「Everything is a file」と言われていますが、Windows OSではファイルやプロセスをはじめとする全てのものがオブジェクトとして管理されており、それぞれが ACL（Access Control List：アクセス制御リスト） によりアクセス制御されています。 ACLは、アカウントに与えているアクセス権限を個別に定義した ACE（Access Control Entry：アクセス制御エントリ） と呼ばれる情報のリストです。 例えば、Windows OSでファイルのプロパティを開くと、以下の図のようにACLが視覚的に確認できます。 DACLの確認例 ファイルやディレクトリなどでは、Windows OS標準の機能でこのように
CISSP 公式問題集 | NTT-AT
1300問以上の問題を掲載した唯一の日本語版公式問題集 受験前の確認や復習、知識整理に最適な一冊。本書を活用して、CISSP合格に確実に近づいてください。 解説 セキュリティ専門家の国際的認証基準として需要が高まっているCISSP（Certified Information Systems Security Professional）の理解と実シナリオへの適用力、判断力を問う『CISSP公式問題集2nd Edition』の日本語版。8つのドメイン毎の問題（各ドメイン100～111問）と全分野の問題からなる125問の演習テスト（4回分）からなり、CISSP資格獲得に向けた確認や復習、知識整理に最適。 目次 第1章 セキュリティとリスクマネジメント（ドメイン1） 第2章 資産のセキュリティ（ドメイン2） 第3章 セキュリティアーキテクチャーとエンジニアリング（ドメイン3） 第4章 通信とネット
【雑記】セキュリティガイドライン類 約300時間 読み漁ってみた - 2LoD.sec
23年3月末から勉強時間をガイドライン類の読み込み＆ブログ執筆にあてて7カ月が経ちました。 特に良い区切りでもないのですが、ここらで一度振り返りたいと思います。 なんで読み始めたの？ どれだけ何を読んだの？ 色々読んでどうだった？ 1. 自分の発言に根拠と自信を持てる 2. 未経験の技術テーマでも取り扱いやすくなる 3.トレンドやビッグテーマが分かる おすすめのガイドライン類は？ なんで読み始めたの？ 今更の自己紹介ですが、私は所属組織の中で3 Line of Defenseにおける2nd Lineにおり、セキュリティの戦略立案、強化施策の推進、あるいは新しい技術を利用する際のルール作りを主に担っています。 プログラム開発、サーバ、ネットワーク、クラウド、API、コンテナ、AI、様々な技術テーマがある中で、そのすべてにセキュリティは強く関わります。そして、セキュリティ担当は、現場から上記の
Warningアラートを放置しない！アラート駆動でログやメトリックを自動収集する仕組みによる恩恵
SRE Next 2023 の発表スライドです
【セキュリティ】読んで損ないウェブセキュリティのススメ - Qiita
はじめに こんにちは、エンジニア2年目の嶋田です。 まずは、この記事を開いていただきありがとうございます！ セキュリティは現代のテクノロジー社会において非常に重要なテーマとなっています。 ウェブアプリケーションやシステムの開発において、セキュリティの脅威を理解し、対策を講じることは不可欠です。 今回は、セキュリティの中でも代表的な脅威とその対策について紹介します。 目次 脆弱性とは何か？ セキュリティの基本 認証と認可の重要性 データの保護と重要性 2023.0829更新 パスワードの取り扱い クレジットカード情報の取り扱い 暗号化の役割 セッション管理の重要性 主要な脆弱性の概要 クロスサイトスクリプティング(XSS) クロスサイトリクエストフォージェリ(CSRF) SQLインジェクション 2023.0829更新 セッションハイジャック パラメータ改竄 2023.0829更新 データ暴露
パケットキャプチャで理解する TLS1.3
TLS は Transport Layer Security の略で、盗聴、あるいは通信相手のなりすましの可能性がある通信路において、安全に通信を行うための暗号通信プロトコルです。 本書では、Go 言語を使って TLS サーバ・クライアントを用意し、その通信を Wireshark で観察しながら、TLS のプロトコルについて説明します。 本書を読むことで、TLS の通信で実際にどのようなパケットが送受信されているかが確認でき、TLS の学習の助けになると思います。 また、TLS には複数のバージョンがありますが、本記事では、最も広く使われており、かつ最新である TLS1.3 に焦点を当てます。
コンテナセキュリティ
「コンテナセキュリティ - Forkwell Library#26」の資料です。 https://forkwell.connpass.com/event/287259/
暗号鍵管理ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
実際の暗号システムがセキュアに動作し続けるためには、暗号アルゴリズム自体がセキュアであるだけでは不十分で、データが保護される期間中、その暗号アルゴリズムが使用する暗号鍵もセキュアに管理されている必要があります。そのため、暗号鍵やデータのライフサイクルを踏まえた運用、安全な暗号鍵の保管、暗号鍵危殆化時の対策などを行う上で参考となるガイドラインを取りまとめています。 「暗号鍵管理システム設計指針（基本編）」の内容 「暗号鍵管理システム設計指針（基本編）」は、あらゆる分野・あらゆる領域の全ての暗号鍵管理システムを対象に、暗号鍵管理を安全に行うための構築・運用・役割・責任等に関する対応方針として考慮すべき事項を網羅的に提供し、設計時に考慮すべきトピックス及び設計書等に明示的に記載する要求事項を取りまとめたガイドラインとして作成されたものです。 具体的には、暗号鍵管理の必要性を認識してもらうために「
CRYPTREC | 「CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）」及び「CRYPTREC 暗号技術ガイドライン（高機能暗号）」の公開
暗号技術ガイドライン2件の公開 「CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）」及び 「CRYPTREC 暗号技術ガイドライン（高機能暗号）」の公開 2023年(令和5年)4月17日 国立研究開発法人 情報通信研究機構 独立行政法人 情報処理推進機構 国立研究開発法人情報通信研究機構 (略称NICT) と独立行政法人情報処理推進機構 (略称IPA) が共同で運営する「暗号技術評価委員会」の2022年度の活動成果として、「CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）」及び「CRYPTREC 暗号技術ガイドライン（高機能暗号）」を作成しましたので、公開いたします。 「CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）」 「CRYPTREC 暗号技術ガイドライン（高機能暗号）」 本報告書に対するお問い合わせは、下記までお願いいたします。 CRYPTREC事務局
国内の情報セキュリティに関連する組織・情報源について - Qiita
はじめに 国内の情報セキュリティに関連する組織・情報源をまとめてみました。 組織内でセキュリティ情報を展開するときは、権威があって日本のサイトだと伝わりやすい気がします。 国民のための情報セキュリティサイト 総務省が運営しています。ITの基礎知識から一般利用者・組織向けのセキュリティ情報が掲載されています。 まさに国民のためという感じがします。 NISC 内閣サイバーセキュリティーセンター 内閣官房が運営しています。様々なセキュリティ情報があります。 SNS関連アカウントもあり情報にアクセスしやすそうです。 サイバー警察局 警察庁が運営しています。セキュリティ事案への注意喚起などが行われています。 国家公安委員会 「重大サイバー事案に係る警察活動への苦情申出」などを受け付けているようです。 防衛省 サイバーセキュリティ 注意喚起や活動内容が掲載されています。 外務省 サイバーセキュリティ
CISSP合格したので勉強法など - Qiita
CISSP合格しました セキュリティ関係の体形的知識をつけたい！！と思って高名なCISSPの試験合格を自分へのエサに勉強しようと始めました。 本を買ってすぐ炎上案件に放り込まれてしまい、ちゃんと勉強ができたのは2022/7～2023/4 の10か月間。試験の難度と比してかなり長い時間かけました。 結果として、セキュリティを中心とした仕事を作れるようになったり、お客さんと話すときに「教科書的な答えはこれですねー、でもｘｘがーとか」 「一般的なフレームワークではｘｘですね」とか、（一般的なスタンダードが自信をもってわかるので）わかってる感をだせるようになりましたｗ 目的が達成されてわたしは満足です。 本人 インフラ系のSE。マネジメント系の仕事が多い。セキュリティ専門職ではないが、仕事でもセキュリティ系のミドルウェアの設計はしたりします。 たまに比較される情報安全確保支援士は取得済み 趣味は読
【Microsoft365参考書】PowershellでTLS1.2を有効化するには？ - 社畜の所業
Powershellにて、V2モジュールのインストールができない場合やExchangeOnlineに接続できない場合など、TLS1.2が有効化されていないことで発生する事例を確認しています。 エラーの一例としては、以下の内容を確認してます。 エラー内容 SSL 接続を確立できません。 リモート ホスト上のサービスが HTTPS要求をリッスンするように適切に構成されていることを確認してください。 そのため、今回は、TLS1.2を有効化する方法をご紹介したいと思いますので、切り分けとしてお試しいただけますと幸いです。 なお、現在の PowerShell セッション内でのみ [TLS 1.2] を有効化するもので、OS の設定が恒久的に変更されるものではありません。 TLS 1.2 の通信設定を許可する Windows PowerShell を管理者として実行し、以下コマンドの実行します。 <構
VMware ESXiを狙ったランサムウエアキャンペーンESXiArgsについてまとめてみた - piyolog
2023年2月3日（現地時間）、フランスのナショナルサートCERT-FRは、VMware ESXiを狙った脆弱性悪用のキャンペーンが確認されているとして注意を呼び掛けています。ここでは関連する情報をまとめます。 何が起きたの？ ⚠️Alerte CERT-FR⚠️ CERTFR-2023-ALE-015 : Campagne d’exploitation d’une vulnérabilité affectant VMware ESXi (03 février 2023). https://t.co/KN6GDUdXcL— CERT-FR (@CERT_FR) 2023年2月3日 2月4日未明よりVMware ESXiを狙ったサイバー攻撃が発生しているとCERT-FRをはじめ複数のセキュリティ研究者などから報告があがっており、被害に遭ったとみられるホスト数が増加傾向にあることから攻撃が続い
ホーム - OWASP Top 10:2021
導入 OWASP Top 10 - 2021 へようこそ OWASP トップ 10 の最新版へようこそ! OWASP トップ 10 2021年版は、グラフィックデザインが一新され、1ページのインフォグラフィックになっています。インフォグラフィックは、ホームページから入手でき、印刷することができます。 今回のトップ10の作成にあたって、貴重な時間やデータを提供してくださったすべての皆さんに感謝します。皆様のご協力なくしては、OWASP トップ 10 2021年版は存在し得ません。本当に、感謝いたします。 2021年版トップ10の変更点 2021年版トップ10では、3つの新しいカテゴリー、4つのカテゴリーの名称とスコープの変更がありました。統合されたものもいくつかあります。 A01:2021-アクセス制御の不備 は、5位から最も深刻なWebアプリケーションのセキュリティリスクへと順位を上げまし
SSL and TLS Deployment Best Practices
Version 1.6-draft (15 January 2020) SSL/TLS is a deceptively simple technology. It is easy to deploy, and it just works--except when it does not. The main problem is that encryption is not often easy to deploy correctly. To ensure that TLS provides the necessary security, system administrators and developers must put extra effort into properly configuring their servers and developing their applica
[PDF]SSL/TLS生誕20年、脆弱性と対策を振返る | PKI Day 2015
© 2015 Fuji Xerox Co., Ltd. All rights reserved. JNSA PKI相互運用WG・電子署名WG共催セミナー PKI Day 2015 サイバーセキュリティの要となるPKIを見直す SSL/TLS生誕20年、脆弱性と対策を振返る 2015年4月10日(金) 13:40-14:15 於：ヒューリックカンファレンス秋葉原ROOM1 漆嶌 賢二, CISSP © 2014 Fuji Xerox Co., Ltd. All rights reserved. 1 ・経歴 ・富士ゼロックス(2010～) ・エントラストジャパン(2005～2010) ・セコム(1988～2005) ・興味： PKI, TLS, 電子署名, SSO, 認証, 暗号, CSIRT, 脆弱性検査, フォレンジック, スマホ, プログラミング, ビットコ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
