MFA

多要素認証（MFA）において、電話応答よりもフィッシング耐性の強い Microsoft Authenticator での応答の方をお勧めされていますが、MFA 疲労攻撃に対する機能が追加されました。Emphasizing Security by Default with Advanced Microsoft Authenticator Features. - Microsoft Community Hub Microsoft Authenticator の通知プロンプトは、ユーザーがログインしようとする時に表示されますが、MFA 疲労攻撃などでハッカーによってトリガーされた場合にも表示されるた…

音声電話や SMS による多要素認証（MFA）が脆弱な方法であるという指摘は以前からされており、Microsoft の調査結果によると、SMS は Microsoft Authenticator アプリと比較して、悪意ある人物を阻止する効果が 40% 低いそうです。しかし、MFA トラフィックの約 44% が SMS および音声通話を介しており、悪意の対象となっています。 MFA のプライマリ認証方法として Microsoft Authenticator を使用するよう促す認証の「登録キャンペーン」機能が改善されています。Advancing Modern Strong Authenticati…

はじめに こんにちは、クラウドエンジニアリング部の本橋です。 私は普段Terraformを使ってAWS検証をしています。 その際、MFAを使用する必要があったためやり方を調べました。 インターネット上にいくつか記事は見かけましたが、自分がやりたいこととは少し違ったので、ここでまとめておきます。 今回やること タイトルにある通りです。正確には「MFAが有効にされたAWS IAMユーザのAPI keyを利用したTerraformコマンドの実行方法」です。 Terrafromを実行する際、通常であればアクセスキーとシークレットキーを設定することでTerraformの実行が可能になります。 ただセキュ…

ソース： https://medium.com/@aniketvs012/how-i-got-my-first-bounty-ff84f46a276b 脆弱性：MFA(OTP) 訳： プライベート プログラム (銀行ベース) への招待状を受け取り。プログラムの範囲を調査しているときに、範囲内の URLのほとんどがユーザー登録に基づいており。私が持っていない特定の国の携帯電話番号が必要であり。 ここで私が学んだ最初の重要なポイントは、「アプリケーションを探索するときは、ランダムにヒットするのではなく、最初にアプリケーションの機能を学ぶように努める」ということでゲス。 アプリケーションが任意のラン…

こんにちは、CRE部 技術支援チームです。 みなさんはニフクラご利用の際、コントロールパネル(管理画面)にどのようにログインしていますでしょうか？ 通常、「ニフクラID」と「パスワード」の入力だと思いますが、ここにOTP(ワンタイムパスワード)を加えることで、ログイン時のセキュリティを一層強化することができます。 ニフクラでは親アカウントだけではなく、マルチアカウントで作成した子アカウントでもOTPが利用できるようになっています。今回はOTPの設定方法をご紹介します。 ※認証要素を追加することの必要性については「多要素認証とは(クラウドナビ)」をご確認ください。

Azure Active Directory の認証において多要素認証時に最適な認証方法が自動選択されるようになります。 この機能によって、サインイン時に多要素認証となる場合、適切な方法で認証が行われるようになります。 多要素認証時におけるリスクについて 多要素認証の適切な利用例 多要素認証として登録されている電話番号が盗まれている場合 Azure Active Directory へのサインイン時最適な認証方法が自動選択されるように 設定ページへのアクセス方法 設定内容による機能について アップデート予定時期 現在優先される設定 筆者からのひとこと 多要素認証時におけるリスクについて 現在、…

4月からパブリックプレビューされていた Authenticator Lite（モバイルの Outlook）機能が一般提供になっています。Announcing General Availability of Authenticator Lite (in Outlook) - Microsoft Community Hub （以前の投稿）Authenticator Lite（パブリックプレビュー） - tos-akibaのブログ これは、モバイルの Outlook アプリで Microsoft Authenticator のように多要素認証（MFA）の応答を行える機能です。 Microsoft の…

【攻撃の傾向・手法】 iPhoneに本人確認通知を連続送信してApple IDを奪い取る攻撃手法が報告される - GIGAZINE Recent ‘MFA Bombing’ Attacks Targeting Apple Users – Krebs on Security PhoneにApple IDのパスワードリセットを求める通知を連続送信してApple IDを奪い取る攻撃手法の存在が確認されました。攻撃者は「Apple公式サポートを装った電話」も併用しているとのことです。 【脆弱性情報】 CISA Warns: Hackers Actively Attacking Microsoft Sh…

ゼロトラスト：ゼロトラストセキュリティにおけるユーザー認証 ※本記事は生成AIによる文章を基に作成しています。（生成AIのテスト目的です） 従来の境界型防御では、ネットワークを内部と外部に分け、ファイアウォールなどの境界防御装置で外部からの侵入を防ぐという考え方でした。しかし、近年はサイバー攻撃が高度化・巧妙化しており、境界型防御のみでは十分なセキュリティ対策とは言えません。 ゼロトラストセキュリティは、「誰も信頼しない」という考え方に基づいて、すべてのアクセスを検証するセキュリティモデルです。従来の境界型防御とは異なり、ユーザーやデバイス、リソースの信頼性を常に検証するため、内部犯や不正アク…

セキュリティ 請求 参考 セキュリティ 項番 対応 料金 補足 1 ルートのMFA認証を設定 無料 2 管理者ユーザを作成 無料 管理者グループ（ポリシー：AdministratorAccess）に所属させる 3 管理者ユーザのMFA認証を設定 無料 4 IAMユーザへの請求情報へのアクセスを許可 無料 デフォルトはルートのみ閲覧可能 請求 項番 対応 料金 補足 1 PDF請求書をメールで配信 無料 2 請求アラートを設定 無料 CloudWatch請求アラートを受信を有効化＆CloudWatchでアラートを設定する 参考 AWSの始め方 請求アラート設定

ゼロトラストに向けて：ゼロトラストセキュリティの3つの柱 ※本記事は生成AIによる文章を基に作成しています。（生成AIのテスト目的です） 従来の境界型防御では、進化するサイバー攻撃から組織を守ることは困難になりつつあります。より強固なセキュリティ対策として注目されているのが、ゼロトラストセキュリティです。 ゼロトラストセキュリティは、「誰も信頼しない」という考え方に基づいて、すべてのアクセスを検証するセキュリティモデルです。従来の境界型防御とは異なり、ユーザーやデバイス、リソースの信頼性を常に検証するため、内部犯や不正アクセス、高度化する攻撃手法への対策にも有効です。 ゼロトラストセキュリティ…

【訳】MFAを回避する新たなフィッシング・キットがMicrosoft 365やGmailのアカウントを狙う 【図表】 Tycoon 2FAのウェブサイト（セコイア） Tycoon 2FA攻撃の概要（セコイア） 出典: https://www.bleepingcomputer.com/news/security/new-mfa-bypassing-phishing-kit-targets-microsoft-365-gmail-accounts/ 【要約】 サイバー犯罪者が新たなフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「Tycoon 2FA」を使い、Microsoft 36…

NVIDIA Quantum™-2 InfiniBandプラットフォームは、超高帯域幅、超低遅延、簡素化された運用と保守を提供し、人工知能と大規模クラウドデータセンターのための最高の選択肢として登場しました。Quantum™-2は、ポート速度が2倍、スイッチのポート密度が3倍、スイッチのシステム容量が5倍、スイッチのAIアクセラレーション能力が32倍となり、従来製品と比べて大きく飛躍しています。Dragonfly+トポロジーを活用することで、Quantum™-2ネットワークは、わずか3ホップ内で100万を超えるノードに対して400Gb/秒という驚異的な接続容量を達成することができ、AI開発者や…

高解像度シミュレーション、膨大なデータセット、高度に並列化されたアルゴリズムを超高速で処理することが最重要となる複雑なワークロードの領域では、最先端のソリューションに対する要求はますます高まっています。このような状況において、InfiniBandは、ハイパフォーマンス・コンピューティング（HPC）、人工知能、ハイパースケール・クラウド・インフラの性能に大きな進歩をもたらす、極めて重要な技術として浮上しています。この記事では、FS 100G EDR InfiniBandソリューションについて掘り下げ、特に100G QSFP28 EDRトランシーバーとケーブルをInfiniBandプロトコル・リン…

Microsoft はいつでもセキュリティの強化を考えながらそれらの対応を製品に取り込んでくれるのですが、特に最近は ID 周りの強化が多くなされている感じがしています。 今回はその ID 周りの強化機能を見ていきたいと思います。 2020 年代以降、 ID とパスワードでのユーザー同定は数打てば当たるということもあってかなり手を加えられていき、 2024 年現在は MFA という複数のキーを基にユーザーを同定する方法をとることがデファクトスタンダードとして扱われるようになりました。 MFA も偽装の難しさや環境の用意のしやすさといった基準からいくつもの手法が生み出され、簡単に利用できる方法と…

今回は、Google Workspaceでテナント全体に2段階認証（多要素認証）を適用する流れについて、解説および動作の検証を実施します。 多要素認証とは Google Workspaceで2段階認証を導入する流れ 2段階認証設定手順 2段階認証プロセス登録の強制 2段階認証プロセスをセットアップ ログイン時の2段階認証確認 おわりに 多要素認証とは 多要素認証とは、ユーザーがサービスを使用する際に2要素以上の本人確認を行う認証方式のことです。 ユーザーが所持するデバイスに確認コードを送付することにより、第三者がID/パスワードを突破したとしても確認コードが第三者には渡らないため、不正なアクセ…

AWS CLIは~/.aws/credentialsに平文でクレデンシャルを保存します。簡単にクレデンシャルが確認できてしまうのでコンピューターにロックをかけないまま離席してしまった日には漏れていてもおかしくありません。そこでクレデンシャルを暗号化しシステムのキーストアに保存するAWS Vaultを使ってみます。 AWS Vault github.com AWS Vaultはシステムのキーストアにクレデンシャルを保存することでセキュリティを担保します。対応しているキーストアは以下から確認できます。 https://github.com/99designs/aws-vault?tab=readm…

※2024/03/29：ネットワーク構成図を更新＋データベースサーバーの更新作業に関する課題を追記。Cloudflareへのドメイン登録作業に「SSL/TLS暗号化モードの設定」を追記。 IT技術に全く触れたことがないタダの「モノを書かずにはいられない性分の者」がAWSでMisskeyインスタンスを運用してみた。その所感は以前の記事で述べた通りである。今回の記事では、いったいどのようにしてインスタンスを立ち上げたのか、システム構成図などを交えて詳細に解説したいと思う。 前提として、データベース（Misskeyのユーザーデータや投稿の本体）があるサーバーは、ユーザーがアクセスできるWeb＋app…

はじめに こんにちは、技術広報の菊池です。 セキュリティの確保は技術的な課題にとどまらず、お客様の満足、さらには企業の存続に直結する重要なトピックスです。 私たちSaaS企業も例外なく、常に変化する脅威にさらされており、日夜対策のアップデートが求められますので、 私も自身の理解を深めるためにキーワードと各分野の歴史をまとめてみました。 本記事で取り上げるセキュリティ主要７分野では、新しい技術の登場と共に、新たな脅威が絶えず発生し、その対策の進歩も伺えました。 今回は、アプリケーション、ネットワーク、エンドポイント、データ、クラウド、アイデンティティとアクセス管理、インシデント対応と復旧のセキュ…