iptablesで特定のIPアドレスのみアクセス許可 | トミリュウ・コム
Linuxサーバーのセキュリティ強化対策として、iptables で特定のIPアドレスのみ SSH や Mysql のアクセスを許可する方法。 ポート番号を変えればFTP、HTTP、PostgreSQLなども同じ。 まずは、現状の設定状況を確認。 # iptables -L 特定のIPアドレスからのみSSHでのアクセスを許可 # iptables -A INPUT -s 192.168.xxx.xxx/32 -i eth0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 特定のIPアドレスからのみmysqlのアクセスを許可 # iptables -A INPUT -s 192.168.xxx.xxx/32 -i eth0 -p tcp -m state --state NEW -m tcp --dport 3306 -j AC
8月半ばごろからインターネット全般で発生している不正広告と、はてなでの対策について - はてなブックマーク開発ブログ
いつもはてなをご利用いただきありがとうございます。 2018年8月半ばごろから、主にパソコンから「はてなブックマーク」「はてなブログ」をはじめはてなのサービスへアクセスした際に、以下のようなページへ強制遷移されるとの報告が増えています。 これはGoogle社になりすまして景品の当選をうたう広告詐欺ですので、クリックや情報の入力をしないようご注意ください。 ページへの強制遷移は、広告ネットワークを介して悪質な不正広告が表示されていることが原因と思われます。これは、はてなが意図したものではありません。はてな以外のサイトでも同様の不正広告が表示されるとの報告もあり、インターネット全般で問題となっておりますため、引き続きご注意ください。 はてなでは今回発生した不正広告への対策として、8月22日16:00ごろ、原因となりえる複数の広告事業者の配信停止を行いました。 停止対応の実施以降、はてなサービス
コインチェック事件は『対岸の火事』ではない
私は創業してからおよそ２年のベンチャー企業を経営しており、CTO兼唯一のプログラマだ。私含め3人の共同創業者と、多くの支援者の力により、これまで自己資本でなんとか開発を続けてきた。 先日、私達の会社は大きなマイルストンを迎え、サービスをβ公開させ、これから大きく勝負に出ようと思っていた。その最中、今回のコインチェック事件が発生した。 私達が行う事業は暗号通貨とは全く関係が無いため、本来であればこれは『対岸の火事』だ。しかし、総額580億円という被害額を生んだ今回の事件は、暗号通貨市場だけでなく、スタートアップ界隈全体へ影響を及ぼすことが容易に想像される。 事件の余波今回の事件で最も強く感じたのは、技術の力で新領域を切り開くスタートアップ企業こそ、時には成長を犠牲にしてでも、技術的安全性・信頼性を優先するべき、ということだ。 顧客にリスクを押し付けることが絶対に起きてはいけないし、少しでも顧
CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog
2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx
【重要】「WPA2」の脆弱性に関するお知らせ| お知らせ | AtermStation
本ページでご案内の [【重要】「WPA2」の脆弱性に関するお知らせ ] は、2019年2月22日に更新されておりますので、ご確認をお願いいたします。(2019年2月22日) ■更新履歴 2019年2月22日「Aterm WL300NU-GS」の掲載を取り下げました。 2018年8月24日/6月28日/2月19日 2017年11月30日/11月10日/10月30日/10月27日/10月24日/10月23日/10月20日/10月19日 無線LAN製品の暗号化技術であるWPA2において、「KRACKs」と呼ばれる脆弱性があるとの発表がございました。 本件はWPA2プロトコルの「子機」機能の実装に関連する脆弱性であるため、WPA2をサポートする中継機製品と子機製品、 また親機製品で子機モード(中継機能を含む)、ルータモード（公衆無線LAN接続）をご利用時に影響があります。 弊社Atermシリーズに
Mac用ターミナルアプリ「iTerm 2」の機能により、パスワードを含む表示されたテキストがDNSサーバーに送られてしまう問題が確認される。
Mac用多機能ターミナルアプリ「iTerm 2」の”DNS Look”機能により、パスワードを含む表示されたテキストがプレーンテキストのままDNSサーバーに送られてしまう問題が確認され、開発者のGeorge Nachmanさんが最新の「iTerm 2 v3.1.1」へアップグレードする様に求めています。詳細は以下から。 オランダPowerDNS.COM BVのエンジニアPeter van Dijkさんによると、Mac用の多機能ターミナルエミュレータアプリ「iTerm 2」に、ユーザーが入力したパスワードなどがプレーンテキストの状態で誤ってDNSサーバーへ送られてしまう不具合が含まれているとして、至急iTerm 2のオプションを無効にする様に求めています(確認されたのはiTerm 2 v3.0.15およびmacOS 10.12.6)。 Detailed steps to reproduce
『【決着編】さくらインターネットのメールがGmailやガラケーで迷惑フォルダ・スパム扱いになる件』
永遠のホリデー(^O^)／おへちょWEBデザイナー、元ソーシャルゲーム企画運営 おすすめアプリ・WEBサービス・フリーソフト・ガジェットなどの紹介 IT系のちょっとした小技・テクニック 心理・精神（スピリチュアル）に関しての考察コラム 夢日記、ハーブや野菜などの園芸記録など まいのこはWEB制作の際、当初から「さくらインターネット」さんを愛用しています。 サーバ自体も安定してるし、安いし、コンパネも使い安いし、wordpressと相性がいいから♪ ところが！！ 長年の悩みは「さくらサーバからメール送信すると、高確率で迷惑メールフォルダに入る＆ガラケーなど強力なフィルタリングにスパム扱いされてはじかれ受信すら出来ない」という、メール機能の根本的な部分・・・ヽ(´Д`；)ﾉｱｩ... この原因は、さくらのメールサービスで「メールの大量送信のデータ量に制限がない為」 要はスパムメール業者ウハウハ
MacのChromeではオレオレ認証が使えないからキーチェーンアクセスで解決する - Qiita
前提 開発環境等では証明書をとらずにオレオレ認証で頑張る・・という方も多いと思います。 そんな時にmacでアクセスするとアクセスができなかったので対処方法を記載します。 現象 macのchromeでオレオレ認証のアドレスにアクセスする すると以下の画像のようになる。 ちなみにWindowsのchromeから同様のページにアクセスすると ~~~~~~~~~~にアクセスするからアクセスができる。 原因 macではOSX Moutain Lionからいわゆるオレオレ証明書は接続できない。 対処方法 1.他のブラウザを使う 諦めてFireFoxやSafariを使おう。 2.他のOSを使う 諦めてWindowsを使う 3. キーチェーンアクセスに証明書を追加する 他のブラウザでオレオレ証明書をDLしキーチェーンアクセスに追加する。 今回はFireFoxを例にする。 FireFoxで証明書をDL アド
弊社社員による個人的なソーシャルメディアの不適切な利用とされている件について - F-Secure
2024 is the year of online scams, finds latest annual F-Secured Consumer Threats Guide This comprehensive report sheds light on the evolving landscape of cyber security threats faced by consumers, offering insights into emerging trends and predictions for the year ahead. 2024 is the year of online scams, finds latest annual F-Secured Consumer Threats GuideThis comprehensive report sheds light on t
CMS四天王のバリデーション状況を調査したところ意外な結果になった
バリデーションでSQLインジェクション攻撃をブロックしないCMSが多い ログインIDにおける典型的なSQLインジェクション攻撃として、'OR 1=1# をバリデーションがブロックするかどうかを確認しました。ログインIDとして許容される文字を見る限り、WordPress、Joomla、Drupalはブロックしそうですが、結果は下記の通りです。 WordPress: ブロックしない Joomla: ブロックする Drupal: ブロックしない MovableType: ブロックしない ということで、意外なことに、バリデーションでSQLインジェクション攻撃を止めるのはJoomlaのみという結果でした。 ログインIDにヌルバイトや改行が使えるCMSがある テストをしていてもっともびっくりしたことの一つがこれです。JoomlaとMovableTypeはヌルバイトや改行など制御文字がログインIDとして
Google Moves Its Corporate Applications to the Internet
Google Inc., taking a new approach to enterprise security, is moving its corporate applications to the Internet. In doing so, the Internet giant is flipping common corporate security practice on its head, shifting away from the idea of a trusted internal corporate network secured by perimeter devices such as firewalls, in favor of a model where corporate data can be accessed from anywhere with the
『Cookieにセキュア属性を設定する』
※SSLで暗号化してもCookieで「secure 属性」を指定しないと、 盗聴される可能性がある また、php.iniや.htaccessで一括設定した場合、 「HTTP」「HTTPS」で挙動が違うので要注意です。 ※php.iniで設定 session.cookie_secure = 1※.htaccessで設定 php_flag session.cookie_secure On※PHPで部分的に設定 ini_set('session.cookie_secure', 1); session_start(); ※参考サイト： ・HTTP環境とHTTPS環境での、session.cookie_secureの挙動の違い ・SSL で暗号化しても Cookie で secure 属性を指定しないと盗聴される可能性があるかもしれない ・クッキーのSecure属性不備
PHPのX-Powered-Byヘッダを送らないようにする方法 - Qiita
PHPはデフォルトで稼働しているPHPのバージョンをHTTPヘッダに乗せてレスポンスを返しているって知っていました？意外と知らない人多いんじゃないかと思います。PHPスクリプトにHTTP Requestすると、このような詳細なバージョンがヘッダが帰ってきます。 バージョンがわかったところですぐに問題になるかと言えば微妙ですが、攻撃者がヘッダを解析するだけでPHPのバージョンを特定できるので、攻撃の事前調査などに悪用されることが考えられます。 X-Powered-Byヘッダを送らないようにする方法としては、3種類あります。1つ目は、php.iniでexpose_php = Offをセットする方法です。これで、X-Powered-Byヘッダは送信されなくなります。ただし、expose_phpを変更可能なのはphp.ini のみなので、.htaccessに書いたり、set_ini()でセットした
大垣靖男氏はISO27000を理解していない - st4rdustの日記
大垣靖男氏著『Webアプリセキュリティ対策入門 ~あなたのサイトは大丈夫?』には付録として「サンプルBBS」のソースコードが掲載されています。大垣さんによる「入力バリデーション」の実際を、見てみます。 そのために、Lib/bbs.class.phpで定義されているValidateInputs()関数の挙動をみることにします。 ログイン画面からユーザ名、パスワードを受けて、この関数は、正規表現で検査した結果の返り値を、V_RETURN に格納する *はず* です。ところがせっかく得られた返り値 V_RETURN を入力バリデーションの判定に利用せずに捨ててしまっていますので、結果的にはなんでもオーケーになっていて、入力バリデーションをしていないのと同じになってしまっています。 この後、入力バリデーションが機能しないまま、 Login($username,$password) のパラメータに引
GHOST 脆弱性は如何様に使うのか | Webシステム開発／教育ソリューションのタイムインターメディア
先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言
glibcのgethostbyname関数に存在するCVE-2015-0235(GHOST)脆弱性について - ブログ - ワルブリックス株式会社
glibcのgethostbyname系関数に脆弱性の原因となるバグが発見されCVE-2015-0235(GHOST)と命名されたようです。放置した場合は相当多くのアプリケーションがこの脆弱性の影響を受けることが予想されます。 glibcは libcのGNUバージョンです。libcはアプリケーションではなく、事実上全てのアプリケーションが利用しているライブラリです。OSの中ではカーネルに次いで重要な部分と言えます。Linuxシステムでは(ことサーバー用途においては)例外なく glibcが使われています。 この glibcに含まれる gethostbyname系関数の実装に 2000年頃から存在したバグが今になって発見され、CVE-2015-0235 通称 GHOSTと命名されました。ネットワークで何らかの通信を行うアプリケーションは必ず※この関数を使用します。 ※追記: 名前解決をサポート
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Chrome now marks all unencrypted websites as “not secure”
Wi-Fiを暗号化するWPA2に脆弱性発見 ～対応のあらゆる機器が影響
SSL/TLSサーバ証明書、コードサイニング証明書 | 国内最安値DigiCert（デジサート）正規代理店
McAfee Support Community