「仕事を早く終わらせたいだけ」がセキュリティの脅威に ー AI時代の生産性とセキュリティの間の緊張関係
4月4日、1Passwordは「AI時代のセキュリティと生産性（Security and productivity in the age of AI）」という年次セキュリティレポートを公開した。このレポートは、ビジネスの進歩がセキュリティにとってしばしば逆効果になる可能性があるという、避けられない結論に達している。 4月4日、1Passwordは「AI時代のセキュリティと生産性（Security and productivity in the age of AI）」という年次セキュリティレポートを公開した。このレポートは、ビジネスの進歩がセキュリティにとってしばしば逆効果になる可能性があるという、避けられない結論に達している。 北米のホワイトカラー従業員1,500人、うちセキュリティ専門家500人を対象に実施した調査により、生産性とセキュリティの間に新たな緊急性を帯びた緊張関係が浮かび上が
広く使用されている「xz」にssh接続を突破するバックドアが仕込まれていた事が判明。重大度はクリティカルでLinuxのほかmacOSにも影響 | ソフトアンテナ
Red HatやDebianを含むLinuxディストリビューションで広く使用されている圧縮ツール「xz」の最新版に悪意のあるバックドアが含まれていた事がわかりました(Ars Technica)。 発見した開発者のAndres Freund氏は、xz version 5.6.0と5.6.1に悪意のあるコードが含まれていることが分かったと指摘しています。幸い、このバージョンは主要なLinuxディストリビューションの製品リリースでは使用されていませんが、Fedora 40やFedora Rawhide、Debian testing/unstable/experimentalなどのベータ版リリースには含まれていたそうです。 macOSのHomebrewでは、複数のアプリがxz 5.6.1に依存している事が判明し、現在xz 5.4.6へのロールバックが行われています。 悪意のある変更は難読化され、バ
Security Hubのアラートを Microsoft Teams に通知する仕組みをCloudFormationテンプレート化 | DevelopersIO
はじめに Security Hubのアラートを Microsoft Teams に通知する仕組みを CloudFormation テンプレートで作成しました。 以前、Security Hub で検知した内容を Amazon EventBridge 経由で Microsoft Teams に通知する仕組みの構築方法を執筆しました。 今回は、通知する仕組みをCloudFormationテンプレートで構築できるようにしましたので、紹介します。 通知される画面は、以下の通りです。 個人的にEventBridge API送信先やEventBridge 接続をテンプレートで作成することがなかったので、勉強になりました。 構成図 構成は以下の通りです。 作成されるリソース CloudFormationで作成するリソースは、以下の通りです。 EventBridge API送信先 接続 ルール IAMロール
セキュリティエンジニアを3年続けて分かったおすすめ勉強法
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
ReactとRailsを使ったJWT認証。 - Qiita
JWT認証について簡単にまとめました。 やることはバックエンドはRailsでGemを使ってトークンの発行をします。 フロントではログイン画面を作成しAxiosを使ってRailsのAPIを利用します。 ヘッダーにはトークンの所持の有無を検証させて持ってない場合はログイン画面にリダイレクトさせます。 ログアウト機能はローカルストレージに保存したトークンを削除することで実装とします。 本格的ではありませんが認証の基本を理解してもらえたら嬉しいです。 ※railsとReactの説明はしません基本的なことは理解できている前提で進めます。 そもそも認証とは システムがユーザーの身元を確認するプロセスのことです。 これにより、ユーザーは自分がアカウントの所有者であることを証明できます。 JWTとは JWT（JSON Web Token）は、情報を安全に伝達するためのコンパクトでURLセーフな方法を提供す
GitLabで1クリックアカウント乗っ取りが可能だった脆弱性から学ぶ、OpenID Connect実装の注意点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)です。 最近は認証や認可に際してOpenID Connectを使うWebサービスが増えていると思います。「Googleアカウント/Twitter/Facebookでログイン」などのUIはあらゆるサービスで見かけると思います。しかし、OpenID Connectの仕様をよく理解せずに不適切な実装を行うと脆弱性を埋め込むことがあります。 そこで、突然ですがクイズです。以下のTweetをご覧ください。 ⚡️突然ですがクイズです！⚡️ 以下の画面はOAuth 2.0 Best Practice上は推奨されないような実装になっており、潜在的リスクがあります。https://t.co/bXGWktj5fx どのようなリスクが潜んでいるか、ぜひ考えてみてください。このリスクを用いた攻撃についての解説記
Googleアカウント「パスキー」導入！パスワードの終わりが始まる
Google、新サインイン方式「パスキー（Passkey）」の Google アカウントサポート開始 「2 段階認証プロセス」に対する別オプションとして「パスキー」を設定可能に パスワードの終わりが始まる Google は 2023 年 5 月 3 日（水）、ちょうど一年前の 2022 年 5 月にオンライン認証技術標準化団体 FIDO Alliance や、Apple、Microsoft と共に発表していた、パスワード不要新規格「FIDO 認証（FIDO2）」を用いた新しいサインイン方式「パスキー（Passkey）」の、Google アカウントにおけるサポート開始を発表しました。 「パスキー」は昨年 2022 年 10 月よりベータ版として、Android と Chrome に提供開始済み。日本国内でも、NTT ドコモの共通 ID サービス「d アカウント」における新しいサインイン認証と
初級者でも分かる「情報セキュリティチェックリスト」を経済産業省が公開
「経営者は守るべき情報を把握している？」から始まるチェックリスト 経済産業省の調査によると、技術が流出したと考えられる事例の流出経路として「取引先による流出」が過半数を占めているという。技術情報は事業者にとって競争力の源泉であり、技術情報の流出は共同研究などオープンイノベーションに取り組む際の課題になる。こうした背景もあり、同省は2018年に技術情報管理認証制度を創設した。 関連記事 システム運用は「全自動化」への過渡期 「設計」ができる人材が不可欠だ 2023年1月に開催された＠IT主催オンラインイベント「『予算や人が足りない』からこそ『データ』に頼れ デジタルシフト時代、エンドユーザーの期待に応える運用変革」において、千葉工業大学教授の角田仁氏が基調講演「オペレーションからエンジニアリングへ～運用管理の誤解を解き、仕組みと人材を革新して『過渡期の時代』を乗り切ろう～」と題して講演した。
Twitterから流出したとみられる約2億件のデータについてまとめてみた - piyolog
2023年1月5日以降、2億件を超えるTwitterアカウントのデータを公開したと主張する投稿がハッカーフォーラムで行われていたことを複数の報道機関が報じました。*1ここでは関連する情報をまとめます。 自分が影響を受けたのかを確認するには 約2億件のデータに自分のメールアドレスが含まれているか（影響対象か）はHave I been pwnedを使って確認することが可能。 メールアドレス入力後に「pwned?」をクリックし、「Twitter (200M)」と表示された場合は、今回のデータに含まれている。（それ以外のリークに含まれていた場合は別のリーク情報も表示される。） メールアドレスがリークデータに含まれていた場合にTwitter (200M)が表示。 Twitter APIの脆弱性より流出したデータと主張 Twitter APIに第三者が他人のアカウント情報を取得できる脆弱性が2021年
Google Password Manager のパスキーのセキュリティ
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
会社が認めていない“野良SaaS”でデータやりとり、多い業界は？ セキュリティ企業が世界規模の調査
会社が認めていないクラウドサービスで業務のデータを保管・共有している人が多い業界は？──セキュリティの訓練サービスを提供する米KnowBe4が世界規模で調査した結果、最も多いのは「教育機関」（42.8％）だった。 2位は「建設」（35.5％）、3位は「官公庁」（33.4％）。逆に最も少ないのは「銀行・金融機関」（17.7％）だった。2番目に少ないのは「金融サービス」（20.5％）、3番目が「テクノロジー」（21.3％）だった。 地域別で見ると、最も多いのは日本含むアジア（32.6％）。逆に最も少ないのは南米（20.4％）だった。調査は2021年7月までに実施。南米、アフリカ、欧州、北米、オセアニア、アジアエリアで、業種を問わず43万5000人以上にアンケートを取り、22年3月に発表した。 関連記事 背筋も凍るITホラー 気付いたら“野良SaaS”のコストが4倍に 「SaaSのお片付け」真っ
マイナンバーカードのセキュリティ
2022.09.10 全ての国民の皆様に、マイナンバーカードの取得をお願いしています。 しかし、マイナンバーカードのセキュリティが不安だから取得したくないという声を伺いました。 そこで、マイナンバーカードのセキュリティについてご説明します。 マイナンバーカードには、ＩＣチップが搭載されています。 このマイナンバーカードのＩＣチップには、カードの券面に印刷されているあなたの情報（氏名、性別、生年月日、住所、顔写真、マイナンバー）のほか、あなたがあなたですよということを証明する電子的な鍵（公的個人認証の電子証明書）と、マイナンバーのもとになる番号（住民票コード）しか記録されていません。 あなたの年金や税などのプライバシー性の高い個人情報はマイナンバーカードには記録されません。 健康保険証として使用する場合も、あなたの特定健診結果や薬剤情報がＩＣチップに入ることはありません。 ＩＣチップの空き領
Osushiに見るフロントエンドのセキュリティ - Speaker Deck
All slide content and descriptions are owned by their creators.
SSLを基礎から学ぶには最適の入門書「食べる！SSL！- HTTPS環境構築から始めるSSL入門」 | DevelopersIO
「良い本に出会った。感動した。」 by濱田 2014年4月のOpenSSLの脆弱性に起因するHeartbleed事件では、世界中のエンジニアが対応に追われました。この記事を読んでいる人で、あの日のことを懐かしく苦しく思い出す方、多いと思います。自分も例外ではないです。 それだけ広く使われていて、インターネット通信における基礎のSSLですが、皆さん、以下の点にすっきり答えられますか？ SSLとTLSの違い SSLが保護するレイヤーは？ SSHとの違いは？ デジタル署名の「署名」の意味とは？ 証明書は「誰」が「なに」を「どうやって」「証明」しているのか？ 普段、EC2でキーペア発行したり、証明書導入したりしているエンジニアでも、案外、ここらへんがもやもやしている人も多いのではないでしょうか。 ぶっちゃけ、自分がそうでした。 そんな折に手に取ったこの本が、自分のニーズにばっちこーいでヒットしたの
OWASPが公開している”セキュアではない”Webアプリ「OWASP Juice Shop」を試してみる | DevelopersIO
森永です。 セキュリティ製品の検証などで脆弱性のあるWebアプリが欲しいということがあります。自分で作るのもいいのですが、手軽に使える"セキュアではない"Webアプリがないかを探してみました。Webアプリのセキュリティに関するコミュニティであるOWASP(Open Web Application Security Project)が「OWASP Juice Shop」という脆弱性のあるWebアプリを公開していたので試してみます。 OWASP Juice Shopとは OWASP(Open Web Application Security Project)が公開しているWebアプリです。OWASPはインパクトのある脆弱性をOWASP Top 10として発表しており、その脆弱性をふんだんに盛り込んだものとなっています。これを使ってセキュリティの検証をしたり、ハードニングのトレーニングをすること
7000社の調査で分かったSaaSアプリケーション企業利用の実情とリスク
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 今回は、年々企業で増えている「SaaSアプリケーション」の利用により発生する新たなセキュリティリスクと、その対策して登場した新しいセキュリティアプローチについて解説していきます。 統計データから見るSaaSアプリケーションの利用増加 筆者が所属するパロアルトネットワークスでは、毎年、企業の実トラフィックデータを基に、アプリケーションの利用状況やサイバー攻撃の傾向をレポートとしてまとめています。2015年は日本を含めて全世界で7000社以上の企業のトラフィックの分析を行いました。 2015年のレポートで興味深かった点として、企業におけるSaaSアプリケーションの利用増加が挙げられます。2012年と比較すると2015年は、46%増の316種
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
FIDO Alliance、ユーザー認証の未来を展望する「Authenticate 2023」の詳細を発表
The beginning of the end of the password
TechCrunch
BLOGOS サービス終了のお知らせ
