脆弱性診断

VAddyはクラウド型の脆弱性診断ツールです。 VAddyのエンタープライズプランには9つの検査項目がありますが、これに加えてSSRF(サーバサイドリクエストフォージェリ)の検査を追加しました。 ▼VAddy Enterpriseプラン検査項目一覧 SQLインジェクション検査 XSS検査 コマンドインジェクション検査 ディレクトリトラバーサル検査 リモートファイルインクルージョン検査 HTTPヘッダインジェクション検査 ブラインドSQLインジェクション検査 XXE検査 安全でないデシリアライゼーション検査 SSRF脆弱性（CWE-918）検査 [NEW] HTTPヘッダインジェクション検査から…

こんにちは、虎の穴ラボの山田です。 本記事は虎の穴ラボ Advent Calendar 2020 - Qiita 10日目の記事になります。 9日目はS.SさんがサーバレスなWEBアプリを作ってみると言う記事を書かれています。 toranoana-lab.hatenablog.com 11日目はH.KさんがChrome拡張の公開方法などについて書かれる予定です。 本記事は表題の通り、コンテナイメージの脆弱性診断ツールであるTrivyを試しに使ってみた、と言うブログ記事になります。 github.com 最近、CI/CD関連のツールを色々検索したりしていた際に見つけたツールです。 コンテナイメー…

クラウド型脆弱性診断ツールVAddyのSQLインジェクション検査をアップデートしました。 今まではGETやPOST時のKey=Value形式のValue側だけを対象に、SQLインジェクションの検査を実施していました。今回のアップデートにより、Key=ValueのKey側も検査対象となり、より広範囲にSQLインジェクションを検出できるようになりました。 今回の検査追加の背景 最近のWebアプリケーション開発現場では当たり前のようにフレームワークが使われるようになってきました。フレームワークのORM(Object-rerational mapping)機能により、SQL文を文字列連結で書くことは減…

登場人物 Webマーケ担当（IT業界10年）：新人 VAddy 契約担当：西野 VAddy 開発担当：市川 第4回：脆弱性診断を実施する企業が急増している理由とは？ 新人：10月のブログ記事を飛ばしてしまいました。すいません・・・。 9月末にITmediaNEWSで下記の記事を公開しました！そちらも合わせてご覧ください！ www.itmedia.co.jp 新人：本日のテーマ「脆弱性診断を実施する企業が急増している理由とは？」についてお話を伺っていきたいと思います！今まで脆弱性診断はどれくらいの頻度で実施するのが主流だったのでしょうか？ 西野：いや、脆弱性診断を実施していないことが主流だったん…

×2317 一定の高齢者等へのPCR検査等費用の助成｜宇都宮市公式Webサイト ×114 [タイトルが取得できませんでした] ×74 アイコンを見るだけでデータが破壊されるNTFSの脆弱性 - PC Watch ×38 [タイトルが取得できませんでした] ×36 シスコの複数の製品に脆弱性、中小企業向けルータなど | マイナビニュース ×24 How I found a bug in YouTube that let me watch private videos I wasn't allowed to, says compsci student • The Register Verified…

×165 【ニュース速報】水産庁山口長官が最難関の「日本さかな検定1級」に合格 水産庁技官職員動揺を隠せず - Togetter ×62 Microsoft社長、サイバー攻撃「脅威情報の共有を」: 日本経済新聞 ×53 会社のプログラムを書き換え、業務妨害に問われた男性に無罪判決 高松地裁「故意は認められない」 | KSBニュース | KSB瀬戸内海放送 ×44 楽天サーバーに漏出情報 SB元社員、同僚と共有の疑い：朝日新聞デジタル ×43 Bypass EDR’s memory protection, introduction to hooking | by Hoang Bui | Medi…

まぁされてもされなくても良いけど（笑）。それにしてもトランプという人は変なプライドを持たず、自国の利益をアメリカンなビジネス感覚でずんずん追求する人だったなぁ（過去形（笑））。最後は負けを認めないとか、プライドがあるんだか無いんだかわからなかったけど、国としての動きはブレなかったというか。自国の利というものをシビアに見る感覚、ビジネスマンとしては割と普通の感覚だと思うんだけど最後までそのスタンスは崩さなかったよね。アメリカという国は民主主義の総本山というか元祖というか、そのプライドがあるから、自国の利だけでなく世界の警察としての目線を持ちながら振る舞ってきたんだよな。逆に言えばそんなプライドと…

Hello there, ('ω')ノ XXEは、XML外部エンティティインジェクションの略で。 WEBアプリケーションのXMLデータの処理を妨害できる脆弱性で。 多くの場合、アプリケーションサーバのファイルシステム上のファイルを表示して。 アプリケーション自体がバックエンドにアクセスできたり。 外部システムと対話することができたりと。 内部エンティティ：エンティティがDTD内で宣言されている場合 構文：<!ENTITY entity_name "entity_value"> 外部エンティティ：エンティティがDTDの外部で宣言されている場合 構文：<!ENTITY entity_name SY…

Hello there, ('ω')ノ CRLFインジェクションについて、脆弱性診断ガイドラインを拝見すると。 診断を実施すべき箇所は、レスポンスヘッダに値を出力しているところで。 操作を行う対象は、レスポンスヘッダに値を出力しているパラメータで。 診断方法として、パラメータの値に検出パターンを挿入して。 リクエストを送信するとのことで。 わからない人が、わからないのは当然のことで。 まずは、HTTPレスポンスは、１行目にステータスラインというものがあって。 次の赤い文字がレスポンスヘッダというもので。 空行（CR＋LF）をはさんで、レスポンスボディで。 HTTP/1.1 200 OK Dat…

システムで利用しているOSSに脆弱性が見つかったときの対応が検討できないの、なんでだろう？という気もするんだけど、 問：ある業務アプリケーションに組み込んでいたOSSに含まれていた既知の脆弱性を悪用され、情報セキュリティ事故が発生した。同様の事故に対する再発防止策として最も適切なものを選べ。 A: 脆弱性対策に漏れがないよう、AppScanなどの診断ツールを利用して、業務アプリケーションに対する脆弱性の確認を網羅的に実施する。 B: ソースコードが利用できる利点を生かし、OSSに対して静的解析を行うことで、既知の脆弱性がないか確認したうえで利用する。 C: NVDやJVNなどの脆弱性情報データ…

VAddyはクラウド型の脆弱性診断ツールです。 VAddyのエンタープライズプランには9つの検査項目がありますが、これに加えてSSRF(サーバサイドリクエストフォージェリ)の検査を追加しました。 ▼VAddy Enterpriseプラン検査項目一覧 SQLインジェクション検査 XSS検査 コマンドインジェクション検査 ディレクトリトラバーサル検査 リモートファイルインクルージョン検査 HTTPヘッダインジェクション検査 ブラインドSQLインジェクション検査 XXE検査 安全でないデシリアライゼーション検査 SSRF脆弱性（CWE-918）検査 [NEW] HTTPヘッダインジェクション検査から…

前回の続き syachineko.hatenablog.com とりあえず定めた4つの目標 レベル１：Webの基本的な知識がわかる、簡単なものが読める、理解できる(2021) レベル２：初心者向けCTFのWeb問題であればサクサク解くことができる(2022) レベル３：中級者向けのCTFのWeb問題をサクサク解ける、CVE取得(2023) レベル４：上級者向けのCTFのWeb問題をサクサク解ける、バグバウンティで脆弱性(2024) それぞれでどのようなアウトプットがあればいいか考える。 なお、資格の勉強はそれ自体に合格するための勉強になってしまうことが予想されるので、実力をつけて結果的に受かっ…

前回の続き syachineko.hatenablog.com 4年後の35歳にどうなっていたいかをつらつら書いてみる。 4年後だと、ちょうど異動しているかもしれません。 その時、改めてセキュリティを志すかどうかを考えるべきですね。 セキュリティをやるにあたって、どんな姿を想像するか。 一番考えられるのが、脆弱性診断員。 こいつは、有償のツールを回して一部を手動で診断するような形になるのかな？ この場合、きちんと診断内容を網羅していけるような慎重さや正確さが求められると考えています。 また、SOCで監視などをするとしたら、マニュアル通りに動く正確さや瞬発力が求められると思っています。 どちらに…

こんにちは。エンジニアの@daikichiです。 今回は、弊社サービスにセルフ脆弱性診断ツールVAddyを導入した時の話をしたいと思います。 脆弱性診断の診断方法 大きく2パターンあります。 ツール診断 メリット: ⾃動で効率的に膨⼤なパターンをチェックできる デメリット: 複雑なシステムで検知率が上げづらい ⼿動診断 メリット: セキュリティの専⾨家が実施し、ツールでは⾒つけ づらい脆弱性に対象可能 デメリット:専⾨的な知識が必要となるため、価格が⾼く時間 がかかりやすい 導入予定のサービスでは今後の開発を見込んで、継続的に診断できる方法を検討していました。 その中でも、現在の環境でもっとも…

二つ目は「セキュリティ体制の構築」。 社内CSRITを立ち上げた時の体制図例や、組織のセキュリティ計画の立て方などをひととおり学習しました。 ちなみに、1-2章で、登録セキスペは、経営層と現場をつなぐ「経営層の右腕」としての活躍が期待されるとの記載があります。セキュリティの体制構築について提言・または推進していくことが求められることもある…そうです。重要な任務ですね！ さてさて、内容について。 予算と人材の確保については、経営層に「対応優先度」と「費用」を繰り返し報告するプロセスが重要との記載があります。セキュリティ対策の費用対効果は見えにくいため、経営者からサイバーセキュリティ対策の予算確保…