Webセキュリティ

企業や組織を対象としたサイバー攻撃が多発している昨今、その被害は大企業だけでなく、企業規模・業種を問わず多くの中小企業にまで広がっています。中小企業でも、従業員のマイナンバーや住所や給与明細、顧客情報、新製品の設計図、取引先から預かっている情報など、守るべき情報は必ずあります。 また、サイバー攻撃の被害規模は多くの場合想定以上で、被害者への損害賠償だけでなく、企業の信用低下や従業員の士気低下、取引停止や顧客流出など、企業の経済活動に多大な損害をもたらします。 本記事では、そんな中小企業に対するサイバー攻撃事例と被害実態、基本的なセキュリティ対策方法から、予算・人員確保が難しい企業がやるべき対策…

Webアプリケーションの主要な脆弱性と対策について学習したため記事にしました。 攻撃の概要・怖さ・実装における対策についてまとめています。

ペンタセキュリティとクラウドブリックは、四半期ごとにExploit-DBのWeb脆弱性を分析し、最新のWeb脆弱性のトレンドを分かりやすくまとめた「EDB/CVE-Report」を発刊しております。 Webサイトセキュリティ運用に役立つEDB/CVEレポートを無料で公開しております。こちらからダウンロードしてご利用ください。 2022年第２四半期のWeb脆弱性トレンドをインフォグラフィックにてご確認ください。 インテリジェント型WAF 「WAPPLES」 www.pentasecurity.co.jp クラウド型WAF「Cloudbric WAF+」 www.cloudbric.jp

こんにちは。谷口です。インターネットの普及以来、Webサービスにはセキュリティの問題が常につきまとっています。個人情報漏洩や、仮想通貨の被害のニュースなどを見たことがある人も多いでしょう。プログラミングを勉強している方や、エンジニアを目指している方は、具体的にどのようなセキュリティ問題があるか知っていますか？今回は、初心者がWebセキュリティについて学べる書籍やサイトをご紹介します。 書籍 おうちで学べるセキュリティのきほん おうちで学べるセキュリティのきほん作者:増井 敏克翔泳社Amazon「セキュリティって一体何？どうして必要なの？」という初心者が、Webセキュリティについて概要を把握する…

要約 CORSはサーバからもらったスクリプトをブラウザ側で実行して、同じオリジンではない、別のオリジンのサーバに対してアクセスできる仕組み。 概念のみ以下説明 ブラウザとサーバの仕組み インターネットを使って、Chrome、FirefoxなどのWebブラウザを立ち上げて、何かしら検索すると、画面に文章、画像、動画などのデータが表示されます。ブラウザにデータを表示するには、データを保管しているサーバにアクセスする必要があります。サーバーから受け取ったデータの種類は動画、画像などもありますが、HTML、CSS、JavaScriptといったブラウザ上の画面を構成するためのスクリプトもサーバ側から受け…

これまでの間、多岐にわたって規制対象とされていた遠隔診療ですが、新型コロナウイルスの感染拡大を発端として、時間的な制限などがあるものの初診における利用が現実のものになるなど、医療のデジタル化を進めるにあたっての状況がよくなっています。その一方で、デジタル化のスピーディな発展には、サイバー攻撃などのセキュリティリスクと背中合わせになるため、様子を見極めつつ欠かすことのできない対策をアクションに移す必要があります。 デジタルで進化した医療、しかし脅威も拡大 医療分野においてデジタル技術が大きな進化を遂げるとともに病院間における患者データ共有・電子カルテ・お薬手帳が世の中に定着することによって、患者…

皆さん、こんにちは。 今年も残すところ僅かとなりました。 この度、ペンタセキュリティのインテリジェント型WAF「WAPPLES」が CyberSecurity Breakthrough Awardから「Overall Web Security Solution Provider of the Year」を受賞いたしました。 CyberSecurity Breakthrough Awardは、情報セキュリティ業界で権威のある国際的なアワードで、 今年は世界20カ国から4,000以上のノミネートが集まりました。 2005年リリースされたインテリジェント型WAF「WAPPLES」は、現在全世界の70…

いまのきもち 考えること、やることが増えてきてセルフマネジメントの重要さをひしひし噛み締める日々。 Webセキュリティの課題もアジャイル開発/スクラムのまとめ文章の課題もOKいただいたので進捗が80/90になった…まじか…（多分あと10がめっちゃ大変😎） 3日ぶりくらいに外に出た👟 やったこと PR: Q＆Aのページで回答を投稿したらWatchする処理をnewspaperに置き換えた #5567を作成、レビュー依頼 PR:コメントが多いときに表示されるリンクの文言変更 #5565のレビュー チーム開発MTに参加 エレベーターピッチを考える わかったこと 【day184】 チーム開発：newsp…

いまのきもち 台風が来るとワクワクしてしまう性分…（危）家に引きこもれる正当な理由になるからかな〜と思っている👀🌱 チーム開発、コードを書く時間より調査したりする時間が圧倒的に多いな〜と実感した日だった。 やったこと & わかったこと [newspaper] Q＆Aの解決質問数のキャッシュ削除処理をnewspaperに置き換えたい #5525のレビュー [newspaper] Q＆Aの解答を投稿したらWatchする処理をnewspaperに置き換えたい #5496についてテストが通らない問題を調査 Webセキュリティの課題修正 [newspaper] Q＆Aの解答を投稿したらWatchする処理…

こんにちは、セキュリティチームのwonda-tea-coffeeです。 最近さらば青春の光のYoutubeチャンネルにハマっています。面白いのでぜひ観てみてください。人間ドック大富豪は傑作です。 さて、本稿では私が、弊社の資格取得制度を利用してBurp Suite Certified Practitioner認定試験に合格した話を紹介します。 受験に至るまでは主に海外の方の試験レビューを参考にさせていただいたため、私も合格者の一人として、これから受験しようと思っている方に向けて有益な情報を提供できたら嬉しいです。なお、試験に関する記述は全て執筆時現在の内容に基づきます。受験の折には公式サイトで…

いまのきもち users-answer.vue, users-answers.vueをVueMounterに対応させる #5148がうまくいかず、悪戦苦闘した日。何が原因なのか探しまくるのに苦労して、もうひとりじゃダメだ…と悟った😇 久々に質問してなんとなく初心に戻った…。 もうちょっと早く質問したらよかったな〜。 やったこと users-answer.vue, users-answers.vueをVueMounterに対応させる #5148 & 質問 Webセキュリティの課題修正 わかったこと allowlistの考え方としては"つかわないデータは返さない" 。 次にやること イシューのつづ…

企業規模を問わず情報セキュリティ強化の声が高まる昨今、イマイチその重要性を実感できていない、あるいは重要性は理解していても予算をかけて対策するほどの危機感を抱けていない、という中小企業経営者は多いのではないでしょうか。 中には未だに「サイバー攻撃は大企業が被害に遭うもの」と誤った認識のままWebサイトやWebサービスを運用している企業もありますが、中小企業の被害実態は実のところ大企業以上に深刻です。 そこで本記事では、サイバー攻撃の起点となりやすい「Webサイト」に焦点をあてて、中小企業のWebサイトが狙われる理由について解説していきます。 攻撃者が中小企業のWebサイトを狙う現実的な理由 セ…

いまのきもち 初めてのレビュー！依頼してくださった方のコードを読んで、こういうやり方があるのか…と目から鱗👀また、自分が思ったことって理論上どうなんだろう？と改めてRailsでのコードの書き方を調べることもした。レビューもめっちゃ勉強になるなと思った✍️ イシューでの最終目標のズレがないよう、疑問が浮かんだときは認識のすりあわせのための質問をすることも大事なんだろうな〜と思った。 とうとう秋めいてきたな…🍠 やったこと 管理者でログインしている場合のユーザー相談部屋のページタイトルの変更 #5403 レビュー1件 わかったこと Git操作 bin/setupは開発環境を構築する際にプロジェクト…

いまのきもち 今日は新たな取り組みが色々はじまった日でワクワクした☺️ Good First Issueを振っていただき、早速トライ。変更自体はスッと終わったもののテスト通したりGitの操作確認したりPR作ったりしてめちゃめちゃ時間がかかったw 先輩方の日報のおかげで何とかレビューの依頼までいけました✨ FBCアプリをズッタズタ⚡️💣💥にする悪夢をみて起きた瞬間冷や汗をかいたことがある。絶対正夢にはしたくない。。。。。 MVCまわりのファイルを改めてざーっと見てみた。イシューに対してどこを触るか、どこが繋がっているかの見立てを自分がさっと思いつけるのか…ワクワクと共に不安になった💫 やったこと…

いまのきもち 今日は新たな取り組みが色々はじまった日でワクワクした☺️ Good First Issueを振っていただき、早速トライ。変更自体はスッと終わったもののテスト通したりGitの操作確認したりPR作ったりしてめちゃめちゃ時間がかかったw 先輩方の日報のおかげで何とかレビューの依頼までいけました✨ FBCアプリをズッタズタ⚡️💣💥にする悪夢をみて起きた瞬間冷や汗をかいたことがある。絶対正夢にはしたくない。。。。。 MVCまわりのファイルを改めてざーっと見てみた。イシューに対してどこを触るか、どこが繋がっているかの見立てを自分がさっと思いつけるのか…ワクワクと共に不安になった💫 やったこと…

はじめに こんにちは。男爵のYOSHIIです。 ノブレス・オブリージュの精神でこの身をささげた今年のオープンカンパニーもいよいよ終盤です。 先日、5Daysオープンカンパニーを開催して無事に終了しましたので、その様子をお伝えします。 1Dayオープンカンパニーの様子はこちらからどうぞ。 blog.securesky-tech.com エンジニア体験オープンカンパニー「リアルなWebセキュリティの業務課題にチームで取り組む」@オンライン 8月17日（水）、8月23日（火）～8月26日（金）と、少し変則的な日程で実施しました。 スケジュールについて 以下のようなスケジュールで進行しました。 初日：…

情報処理安全確保支援士の勉強で学んだことをアウトプットしていきます。 ここではWebサーバセキュリティ、特にHTTP通信とそのセキュリティについて纏めております。 目次 ①HTTP通信の流れ ②GETリクエスト/POSTリクエストとセキュリティ ③Webセキュリティ対策 ①HTTP通信の流れ 通常、私たちがインターネットを通して「https://～」と入力してどこかのホームページを見ている時、ブラウザとWebサーバに送るデータをHTTPリクエストといいます。HTTP通信の流れ（リクエスト）は以下の通りになります。 １．URLを解読する ２．キャッシュにIPアドレスが無いか確認する ３．DNSで…

いまのきもち 未ログインのユーザーが秘密のブログにアクセスできてしまっていて、格闘しつづけたけど結局NoMethodErrorを返すまでで精一杯だった💦相談させていただくことに。。。 チーム開発、自作サービス、就活が近づいていて怖気付いていたけど、やってみないとわからないことばかりなのでうじうじ考えていても仕方ないな、というお気持ち😇困ったら、困っていますって言おう。 やったこと＆わかったこと Webセキュリティのプラクティス→相談させていただきつつ提出✅まだ呪いは解除半ばなり🦹‍♀️ Webセキュリティ ブログ投稿でXSSを起こさないようにする escapeHTML()を使ったり、文字列の中…