脆弱性診断

ドメイン・ホスティング総合サービスのバリュードメインを運営するGMOデジロック株式会社の オールインワンWebセキュリティサービス「SiteLock（サイトロック）」のプログラムです。 昨今では、Webサイトの脆弱性を狙ったサイバー攻撃により、 Webサイトを不正に改ざんされたり、悪意のあるマルウェアを仕込まれたりといった被害が後を絶ちません。 ・全世界の８６％が脆弱性のあるサイトです。 ・マルウェアは毎日１億件みつかります。 ・WEBサイトの不正改竄は毎日３万件あります。 上記の脅威からWEBサイトを守る対策が必要です。 「SiteLock」は、Webサイトの脆弱性（セキュリティの脅威）、改…

業務にて脆弱性診断について知る必要が出てきたので，基本的な内容を整理しておきたく，記事としました． 脆弱性とは 脆弱性診断とは 脆弱性診断の種類 クラウド診断 さいごに 引用 脆弱性とは まずは脆弱性という言葉の定義から． IPAの資料では，次のような定義をしています． 「ソフトウェア等におけるセキュリティ上の弱点」のことで「セキュリティホール」とも呼ばれます。 *1 もう一つ，米国国立標準技術研究所（NIST）のSP800（※）シリーズでは下記のように定義されています． 脅威源によってつけこまれるか衝かれるおそれがある情報システム、システムセキュリティの手順、内部制御、または導入での弱点。*…

コンピューターの機密保護に欠陥があると知ったとき、それを人にどう伝えたらいいだろうか。 こんにちは、セキュリティエンジニアの一杉です。 食品ビジネス事業会社のセキュリティ担当が、セキュリティ脆弱性診断メニューのネットワーク診断を完全社内リソースで内製化した取り組みについて紹介します。 Contents セキュリティ脆弱性診断とは ネットワーク診断 なぜネットワーク診断なのか？ 内製化に向けた取り組み セキュリティ担当内でネットワーク診断内製化の承認を得ること 診断環境の構築 システムアドミニストレータへのネットワーク診断実施に向けた啓蒙活動 セキュリティ脆弱性診断に関わる対応の流れは？ ネット…

今までのVAddyの脆弱性診断では、VAddyが発行する認証htmlファイルを検査対象サーバに設置が必須でした。 そのため認証ファイルが置けないAuth0、AWS Cognito、Azure AD B2CのようなIDaaS利用アプリケーションは検査時にシナリオの再現ができず、それらはログインセッションが有効な間だけVAddyで検査できる状況でした。 新機能と制限 今回、サーバ所有者確認をスキップする機能をリリースしました。これにより、IDaaSのログインリクエストも検査のシナリオ（クロール記録）に含めることができ、VAddyの検査時にセッションが切れても自動的にAuth0などに再ログインして検…

VAddyの管理画面では、脆弱性診断を実行する際に検査項目が指定できます。これと同じことがWebAPIからも可能になりました。同時に、go-VAddyツールVer. 1.1.0からもこの機能が利用できるようになっています。 背景 VAddyで脆弱性診断を自動化されているお客様の中には、CI(継続的インテグレーション)ではリリースを早くするため検査時間を短くして最低限の検査項目に絞り、夜間や定期的に全ての検査項目を実行するような運用のご要望がでてきました。 そこで、VAddyのWebAPIからも脆弱性診断の検査項目を絞って実行する機能をリリースしました。 VAddyではサービス開始当初からWeb…

Apinkは2月14日に「HORN」で、1年10ヶ月ぶりのカムバックを果たしました。「HORN」は、Apinkのデビュー10周年を記念したアルバムです。このブログでは「もし、Apinkのメンバーが情報セキュリティの仕事をしていたら、何が適職か？」を個々のメンバーの性格や能力から考えてみました。第五回はApinkのビタミン、キム・ナムジュです。 View this post on Instagram A post shared by Apink (에이핑크) (@official.apink2011) www.instagram.com キム・ナムジュは自己紹介をするとき「Apinkの…

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近 WebAuthn *1 を触る機会がありました。 WebAuthnを使うと、Webアプリのログインで指紋認証や顔認証など多要素認証を組み込むことが可能となります。 一方で脆弱性診断の観点から見ると、burpやzapなどのスキャンツールで WebAuthnを使ったログイン処理をどうやって再現するかが悩ましく感じました。 もちろん、2022年2月時点でほとんどの（筆者の知る限りではすべての）Webサイトで WebAuthn を始めとする多要素認証はオプション扱いです。 …

どーも、ばぁどです。 セキュリティエンジニアやっています。 元々はWebアプリ開発をやっていました。 現在は脆弱性診断を主にやっております。 最近、プライベートでAmazon Cognitoを利用したアプリケーションを触るタイミングがありました。 前から、Amazon Cognitoの存在はなんとなく知っておりましたが、少し調べてみるとサイバーセキュリティ的な観点で「あぁ脆弱性がなくなる良いものだ」と言う感想を持ちました。 物は作り込まない方が脆弱性は入り込まないと言う鉄則 筆者がWebアプリ開発者として、Webアプリを開発していた頃のお話です。 「自身が作るよりもライブラリなどに任せた方が結…

少し遅くなりましたが、ショーケース社の入力最適化ツールが第三者によりソースコードが書き換えられた事によって「カクヤスネットショッピング」からカード情報が漏洩した可能性があると公表されていた件について改めて調べました www.itmedia.co.jp 公式発表 ・【重要】クレジットカード情報漏洩に関するお詫びとお知らせについて （11/1）魚拓 ■不正アクセスに関するお知らせとお詫び（ショーケース社：10/25）魚拓 （1）原因ショーケース社システムの脆弱性をついた第三者の不正アクセスにより、ショーケース社のサービスのソースコードの書き換えがなされたため。（2）漏洩情報2022 年 7 月 1…

今日は主に YJIT の不具合修正と bundler の依存関係解決エンジン実装の変更などがありました。 [a0fcbce415] Hiroshi SHIBATA 2022-11-11 07:06:36 UTC GitHub Actions に Scorecards というサービス? によるサプライチェーンの脆弱性診断を行う workflow を追加しているようです。 [800caf4ee1] Hiroshi SHIBATA 2022-11-11 07:54:24 UTC a0fcbce415fc045ff16eb74946a40774c0d39ac5 で追加した Scorecard の Gi…

皆さん、こんにちは。 アウトクリプト株式会社は、この度、 KOTRA(韓国貿易センター名古屋)が主催する「韓国次世代モビリティ技術展2022」に出展することになりました。 今回の展示では、最近UNECE WP29への対応として企業に求められるセキュリティ対策についてご紹介します。車載サイバーセキュリティソリューション「AutoCrypt IVS」をはじめ、車載ソフトウェア専用のファジングテストツール「Security Fuzzer」、車載OSS脆弱性診断・自動分析ツール「Security Analyzer」などで車両セキュリティにおける総合的なアプローチをご提案します。 なお、交通弱者の移動課…

英語の本365冊読破にチャレンジ。原則としてページ数は最低100頁程度、ジャンルはなんでもOK、最後まできちんと読み通すのがルール。期限は2025年3月20日。 本書は未邦訳（たぶん）の情報セキュリティシリーズ全７冊。著者は10数年にわたるセキュリティアナリストとネットワークエンジニアとしての経験を持ち、本書は企業のセキュリティ管理者をはじめ、情報セキュリティにかかわるすべての読者向けに書かれている。この記事は５冊目と６冊目までの読書感想。３冊目は用語集、４冊目はキャリア関連だから後回し。 Ethical Hacking Bible: Cybersecurity, Cryptography, …

こんにちは！ スマレジ・テックファームのWebエンジニアやまてと申します。 はじめに Web関連の自習について、学習効率を高めることを目的として、月に１記事、振り返りのブログ記事を投稿しています。（2022.5〜） ryamate.hatenablog.com 半期目標 Goal 半期目標 Goal 自己成長についての半期（2022/05/01~2022/10/31）の目標ですが、以下の内容にしています。 1.DB設計の習得 2.PHPとオブジェクト指向の習得 3.Webアプリケーションのセキュリティの習得 「習得」のレベル感としては実務で求められる業務に食らいつけるくらいのイメージです。 読…

どうもお久しぶりです。株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド関連の診断と調査、Twitter ではご飯の画像を流す仕事をしています。 よろしくお願いします。 セキュリティ診断にご興味のある方は是非「料金を自分で計算できる資料」を公開しているので、ダウンロードしてみてください。 DoSやDDoSといったサイバー攻撃はみなさん聞いたことがあると思いますが、クラウド時代において、これらと並びサービスの継続に非常に関わってくる攻撃があるのはご存じでしょうか？ 世の中ではEDoS(Econ…

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近 Fetch API*1 や XMLHttpRequest*2 を使ってクロスサイトのCookieを送る・送らないの実験をする機会がありました。 そこで自分の勘違いが複数発見され、改めて「今のクロスサイト Cookie って難しいな」と感じました。 セキュリティエンジニアのみならず、開発者の方にも参考になるかと思いましたので、自分の勘違いを紹介していきたいと思います。 なお本記事では「サイト」という単語を Cookie における Same-Site の定義に沿って扱い…

[解説：技術系]応用・基本・セキマネ・ITパス向け デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコル はどれか。 ア CHAP イ LDAP ウ OCSP エ SNMP ■キーワード■ CHAP ■解答■ 応用情報技術者午前令和０４年秋問３８ ア CHAP > OCSP(Online Certificate Status Protocol) > ・ディジタル証明書の有効性を確認するためのプロトコルであり、 > IETFで1999年にRFC2560で標準化され、2013年にRFC6960として改定されて > いる。 > ・ディジタル証明書の有効性はCRL(証明書失効リス…

概要 サマーインターンには開発コース・インフラコース・セキュリティコースがあり僕はセキュリティコースに参加しました コースの概要は以下となっていました。 気になったのがGMOの公式ページに情報が無いことでした。結構ちゃんと探さないとサマーインターンの情報がなくて大変でした ■セキュリティコース セキュリティエンジニアの業務を1Dayインターンよりもさらに実践的な体験を行っていただけます。 ※1Dayインターンシップは別コースとなっておりますので、イベントページをご確認ください。 サイバー攻撃の調査体験や、脆弱性を含むウェブサイトへの攻撃体験を行っていただく予定です。 また、CTFを利用してチー…

はじめに こんにちは。 2022 年度新卒入社の髙松です。 この記事では 2022 年度の新人研修を振り返り、幾つかの研修をピックアップして紹介していきます。 ＦＦＲＩセキュリティでは入社後 4 ヶ月かけて新人研修を実施し、その後 OJT 期間に移行します。 入社式と PC の支給がある 4 月 1 日だけ出社しましたが、その後の研修は、新型コロナウイルス感染症対策のため、すべてリモートで行われました。 対象読者としては、「ＦＦＲＩセキュリティに興味があり、入社後にどういったサポートやトレーニングが受けられるのか、その詳細を知りたい」という現在就職活動中の方を想定しています。 募集要項の要件「…